CISA KEV 警告 26/08/11：Metabase SQLi の脆弱性 CVE-2026-72898 を登録

CISA Warns Critical Metabase SQL Injection Flaw Lets Unauthenticated Attackers Gain Admin Access

2026/08/13 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) が、Metabase に存在する深刻な SQL インジェクション脆弱性 CVE-2026-72898 を Known Exploited Vulnerabilities (KEV：既知の悪用脆弱性) カタログに追加した。この欠陥を悪用する未認証のリモート攻撃者は、脆弱なアプリケーション・インスタンスに対して管理者権限を取得する可能性がある。この脆弱性は、2026年8月11日に KEV カタログへ追加され、Federal Civilian Executive Branch (FCEB：連邦政府民間行政機関) に対しては、2026年8月14日までの対処が求められている。

脆弱性 CVE-2026-72898 のリスク

脆弱性 CVE-2026-72898 は、CWE-89 に分類される SQL インジェクションの欠陥である。CISA によると、この問題を突くリモート攻撃者は、事前認証を必要とせずに、Metabase アプリケーションのデータベースに対して任意の SQL クエリを注入し得る。

Metabase はオープンソースのビジネス・インテリジェンスおよび分析プラットフォームであり、ユーザー組織のデータベースへの接続／データの可視化／ダッシュボードなどにおいて、広く使用されている。

このアプリケーションには、基盤となるデータ・ソースへの接続情報やクレデンシャルが保存されている場合が多い。したがって、侵害による影響が Metabase サーバだけに留まらない可能性がある。

悪用に成功した攻撃者は、脆弱な Metabase インスタンスに対する Admin アクセスを取得する可能性がある。侵入後の攻撃者は、アプリケーション・コンフィグの変更／接続先データベース用に保存されたクレデンシャルへのアクセスなどを引き起こし、それらの情報を通じたデータの読み取り／機密性の高い組織情報のエクスポートを行う可能性がある。

インターネットへ公開された本番環境の Metabase インスタンスにおいて、データベースに保存された顧客記録／金融データ／内部運用情報／独自の分析データなどが、この脆弱性により危険にさらされる。

この脆弱性は、未認証アクセスから管理者権限の取得までの直接的な経路を提供する。それにより、このアクセスを悪用する攻撃者は、設定済みデータベース接続の列挙／アプリケーションに保存されたシークレットの収集などを介して、より広範なデータ窃取を可能にする。

この脆弱性により生じる可能性のある影響には、以下が含まれる：

• Metabase 内に保存されたデータベースのユーザー名／パスワード／トークン／接続文字列の露出。
• 設定済みデータベース統合を通じたデータへの未認可アクセス。
• ダッシュボード／ユーザー・アカウント／権限／アプリケーション設定の変更。
• 機密性の高いビジネス・インテリジェンス・データの大量エクスポート。
• 盗まれたデータベース・クレデンシャルを悪用する新たな侵入活動。

現時点において CISA は、この脆弱性とランサムウェア・キャンペーンとの関連性について確認していない。ただし、KEV カタログへの追加は、実環境での悪用を示す証拠が存在することを意味している。したがって、組織にとって必要なことは、パッチ適用プロセスで脆弱性 CVE-2026-72898 に優先的に対応することだ。

緊急の緩和策

CISA が組織に推奨しているのは、ベンダーの指示に従いながら、リスク・ベースのセキュリティ・アップデートを優先させる Binding Operational Directive 26-04 に準拠し、緩和策を適用することである。

クラウド・ホスト型サービスを利用する組織に求められるのは、該当する BOD 26-04 のガイドラインへの準拠である。また、効果的な緩和策を利用できない場合には、影響を受ける製品の使用を停止する必要がある。

ネットワーク防御側にとって必要なことは、すべての Metabase 資産の迅速な特定／外部からアクセス可能なインスタンスの有無の確認／露出状況の評価である。

セキュリティ・チームに求められるのは、ベンダーが提供する修正を適用した上で、Metabase の Admin アカウントおよびコンフィグの変更を確認し、露出した可能性のあるインスタンス内に保存されている、アクセス可能なクレデンシャルをローテーションすることである。

また、組織に推奨されるのは、不審な未認証リクエスト／通常とは異なる SQL アクティビティ／新たに作成された Admin アカウント／予期しないデータ・エクスポート／データベース接続設定の変更について、ログを調査することである。

侵害が疑われる場合の防御側に求められるのは、CISA のフォレンジック・トリアージ要件に従い、関連するアプリケーション／データベース／認証／ネットワークのログを保持することである。

特に活発な悪用が確認されている脆弱性に関して、脆弱性マネージメントの優先順位付けに利用する主要なリソースとして、CISA は KEV カタログの活用を推奨し続けている。

CISA KEV カタログに、Metabase の脆弱性 CVE-2026-72898 が登録されました。この脆弱性は、データベース操作の検証不全に起因し、管理者権限の奪取や接続情報の漏洩といった甚大な被害を引き起こす可能性があります。情報分析の基盤として活用される製品であるため、外部からアクセス可能な環境での未対策放置による影響の拡大が懸念されます。対応策として、更新プログラムの適用／管理権限の点検／暗号化鍵やパスワードの更新／通信履歴の検証が挙げられます。状況を安全に保つためにも、この脆弱性への優先的な対応が求められます。