Metabase に SQLインジェクションの脆弱性、ゼロデイ攻撃も確認

　一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月14日、MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）について発表した。影響を受けるシステムは以下の通り。

Metabase 63系：x.63.5より前のバージョン Metabase 62系：x.62.9より前のバージョン Metabase 61系：x.61.11より前のバージョン Metabase 60系：x.60.17より前のバージョン Metabase 59系：x.59.21より前のバージョン Metabase 58系：x.58.24より前のバージョン

　Metabaseは日本時間8月6日に、同社製品であるMetabaseにSQLインジェクションの脆弱性（CVE-2026-72898）が存在することを公表している。

　本脆弱性が悪用された場合、遠隔の第三者が認証なしで細工したリクエストを送信することで、Metabaseのアプリケーションデータベースに対して不正なSQLクエリを実行し、Metabaseの管理者権限を取得する可能性がある。

　Metabaseでは、本脆弱性を悪用したゼロデイ攻撃を確認しており、海外では複数の組織が本脆弱性を悪用した被害を公表している。また、本脆弱性を悪用する概念実証（PoC）コードとみられる情報も確認されており、今後も脆弱性を悪用する攻撃が広がる可能性がある。

　JPCERT/CCでは、Metabaseが提供する最新の情報を確認し、本脆弱性の修正を含む最新のバージョンを適用するよう呼びかけている。