データ分析ツール「Metabase」に深刻なSQLインジェクションの脆弱性が判明、CVSSスコアは最大の10.0

要点

• オープンソースのデータ分析ツール「Metabase」において、認証不要で管理者権限を奪取できる深刻な脆弱性「CVE-2026-72898」が判明した。
• パスワード再設定用エンドポイント「/reset_password」を介して任意のSQL文が注入可能な状態となっていた。
• 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）による深刻度評価では、CVSS v4.0およびv3.1の双律で最高値の「10.0（CRITICAL）」が算出されている。
• CISAの脆弱性判定において実際の悪用が確認されていることを示す「active」へと更新され、既知の悪用された脆弱性カタログ（KEV）へ追加された。

リード文

データ分析・BI（ビジネスインテリジェンス）プラットフォームの「Metabase」に、極めて深刻なSQLインジェクションの脆弱性「CVE-2026-72898」が存在することが明らかになった。米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）が2026年8月に公開した情報によると、遠隔の攻撃者が認証を経ることなくシステムへ任意のSQLコマンドを送り込み、Metabaseインスタンスの管理者権限を取得できるという。深刻度を示す指標では最も危険度が高い「10.0（CRITICAL）」と評価されており、すでに悪用が確認された脆弱性として登録が進められている。

脆弱性の概要と攻撃手法

今回報告された脆弱性は、データベースに対する不正な問い合わせを実行させる「SQLインジェクション（CWE-89: Improper Neutralization of Special Elements used in an SQL Command）」に分類されるものだ。

脆弱性が存在するのは、Metabaseのデータベースエンドポイントである「/reset_password」とされる。遠隔地にいる攻撃者は、アカウントのログインや事前認証を一切必要とせずに、このエンドポイントを通じて任意のSQL文を注入することが可能となっている。この処理を通じて、攻撃者は対象となるMetabaseインスタンスへの完全な管理者アクセス権を獲得できる状態になっていたとされる。

CVSS評価で最高値の「10.0」を記録

本脆弱性に対しては、CISAより極めて高い危険度スコアが付与されている。脆弱性の深刻度を評価する共通基準であるCVSS（Common Vulnerability Scoring System）において、バージョン4.0（CVSS 4.0）およびバージョン3.1（CVSS 3.1）のいずれの基準でも、最高評価である「10.0（CRITICAL）」が算出された。

それぞれの評価ベクターの内訳は以下の通りとなっている。

• CVSS 4.0: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
• CVSS 3.1: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

評価項目の詳細を見ると、攻撃元区分（Attack Vector）はネットワーク越し（AV:N）、攻撃条件の複雑さ（Attack Complexity）は低（AC:L）、必要な特権レベル（Privileges Required）は不要（PR:N）、ユーザー関与（User Interaction）も不要（UI:N）となっている。さらに機密性・完全性・可用性への影響度はいずれも「高（High）」となっており、外部から極めて容易に攻撃が成立し、システム全体に致命的な影響を及ぼす性質が示されている。

なお、米国立標準技術研究所（NIST）による独自の評価スコア（NVD assessment）については、現時点では未提示（N/A）と記載されており、データの補強作業が進められている段階にある。

CISAによる登録と悪用状況の更新履歴

公開されている変更履歴（Change History）によると、本件に関するレコードは2026年8月10日14時18分（米国時間）にCISAから受領され、データベースへ登録された。

登録直後の8月10日17時17分、CISA-ADPによって脆弱性の意思決定支援フレームワーク「SSVC（Stakeholder-Specific Vulnerability Categorization）」の判定データが追加された。当初の判定では、悪用状況（exploitation）は「active（悪用中）」、自動化の可否（automatable）は「yes」、技術的影響度（technicalImpact）は「total（全体的）」と記録されていた。

その後、8月11日未明から昼にかけてSSVCデータのタイムスタンプや一時的なステータス調整が行われた後、同日16時18分の更新によって、悪用状況が正式に「active」として確定された。同時に、CISAが管理する「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog: KEV）」への参照リンクが新たに追加されている。

公開されている関連アドバイザリ

本脆弱性に関しては、NVDのレコード上に以下の公式ドキュメントやセキュリティ機関のアドバイザリが参照リンクとして掲載されている。

• GitHub上のMetabase公式セキュリティアドバイザリ（GHSA-vwf4-m7j8-wcjf）
• Metabase公式ブログのセキュリティアップデート情報（/blog/security-update）
• CISAが公開するCSAF（Common Security Advisory Framework）ファイル（va-26-222-01.json）
• CISAの既知の悪用された脆弱性カタログ（KEV）
• CVE公式レコード（CVE-2026-72898）