入会案内
メニュー

悪用報告あり2026年11月6日（金）

Metabase で悪用を確認：危険なエンドポイントを遮断し、更新とデータベースへのアクセス調査を実施

Metabase の認証不要の SQL インジェクションの脆弱性が悪用されており、管理権限やデータベースの認証情報を取得される可能性があります。直ちに更新してください。暫定的にパスワードリセットのエンドポイントを遮断し、セッションの失効とデータアクセスの調査も実施してください。

PDFをダウンロード（繁体字中国語）該当する対策を見るセキュリティ速報に戻る
01

本文

Metabase は CVE-2026-72898 の実際の悪用を確認しています。CVSS v3.1 は 10.0 です。影響を受けるセルフホスト型インスタンスに接続可能な未認証の攻撃者が、SQL インジェクションで Metabase の管理権限を取得し、保存されたデータベースの認証情報を利用したり、接続先の権限で読み取れるデータを照会・エクスポートしたりする可能性があります。

攻撃の流れ分析プラットフォームの入口から業務データへ
  1. 01

    認証不要のエンドポイントへの接続

    攻撃者が影響を受けるセルフホスト型 Metabase に接続

  2. 02

    アプリケーション DB への SQL インジェクション

    悪意あるリクエストが Metabase 自身のアプリケーション DB に影響

  3. 03

    プラットフォームの管理権限を取得

    設定の変更や、保存されたデータベース認証情報の読み取りが可能になるおそれ

  4. 04

    データの照会とエクスポート

    影響は接続アカウントの読み取り範囲とデータ権限に依存

修正版と更新後に必要な対応

メーカーは現在、ブランチに応じて x.58.24、x.59.21、x.60.17、x.61.11、x.62.9、x.63.5、または各ブランチのそれ以降の修正版への更新を推奨しています。x はオープンソース版では 0、商用版では 1 です。コンテナイメージと委託先のインスタンスについても、実際のバージョンを個別に確認してください。

影響範囲の境界について、公式情報の間に差があります。GHSA の各ブランチの上限は同公告の「Patched versions」欄より古く、CVE 記録と CSA はそれより後の推奨修正版を境界としています。運用では上記のメーカーの現行推奨版を更新先とし、古い境界だけを根拠に安全と判断しないでください。

直ちに更新できない場合、メーカーは /api/session/reset_password の一時的な遮断を推奨しています。このエンドポイントが過去に公開され、外部から接続可能だった場合は、更新後もメーカーの手順に従い、セッションの失効、キーと管理者の確認、接続しているすべてのデータベース認証情報の更新を行ってください。データウェアハウスと Metabase の操作・クエリ履歴も調査してください。

対応の流れ推奨対応：外部の境界から内部の重要資産まで確認
  1. 01

    エンドポイントの遮断と更新

    セルフホスト、委託先、コンテナの各インスタンスを把握してください。直ちに更新できない場合は、実際の入口で /api/session/reset_password を遮断し、その後、ブランチに応じて更新してすべての入口を再検証してください。

    対応策を見る関連情報 2件

    TWISA会員企業の対策

    エンドポイントの遮断と更新

    セルフホスト、委託先、コンテナの各インスタンスを把握してください。直ちに更新できない場合は、実際の入口で /api/session/reset_password を遮断し、その後、ブランチに応じて更新してすべての入口を再検証してください。

  2. 02

    セッションの失効と ID の確認

    このエンドポイントを過去に外部公開していた場合、更新後に管理者がメーカーの手順に従ってアプリケーション DB の core_session を空にし、すべてのセッションを失効させてください。API キーと管理者の変更も確認してください。

    対応策を見る関連情報 2件

    TWISA会員企業の対策

    セッションの失効と ID の確認

    このエンドポイントを過去に外部公開していた場合、更新後に管理者がメーカーの手順に従ってアプリケーション DB の core_session を空にし、すべてのセッションを失効させてください。API キーと管理者の変更も確認してください。

  3. 03

    データベース認証情報を更新

    接続しているデータベースの認証情報を更新し、アプリケーションの接続を確認してください。照会・エクスポートの権限を制限し、読み取れる機密データと平文への復号権限を把握してください。

    対応策を見る関連情報 2件

    TWISA会員企業の対策

    データベース認証情報を更新

    接続しているデータベースの認証情報を更新し、アプリケーションの接続を確認してください。照会・エクスポートの権限を制限し、読み取れる機密データと平文への復号権限を把握してください。

  4. 04

    アクセス調査と復旧

    データウェアハウス、リバースプロキシ、アプリケーションのログと操作・クエリ履歴を確認してください。異常がある場合は証拠を保全し、隔離して信頼できる状態へ復旧したうえで、レポートとデータの完全性を検証してください。

    対応策を見る関連情報 2件

    TWISA会員企業の対策

    アクセス調査と復旧

    データウェアハウス、リバースプロキシ、アプリケーションのログと操作・クエリ履歴を確認してください。異常がある場合は証拠を保全し、隔離して信頼できる状態へ復旧したうえで、レポートとデータの完全性を検証してください。

防御の構成入口の遮断、プラットフォームの ID、重要データの保護

各入口、オープンソース版・商用版、コンテナイメージ、接続アカウント、機密データを把握

許可された業務通信のみを通し、各層で防御を行います。

  1. 01

    公開・内部の入口

    リバースプロキシと危険なエンドポイント

    遮断と再検証パスワードリセットのエンドポイントを一時遮断し、接続元を制限。直接接続による回避も防止

  2. 02

    分析プラットフォーム

    Metabase とアプリケーション DB

    更新とアクセスの整理ブランチに応じて更新し、session を失効。API キーと管理者を確認

  3. 03

    データベースとデータウェアハウス

    サービスの認証情報、照会、エクスポート

    データ漏えいの範囲を低減認証情報の更新と最小権限。機密データの平文と復号権限を分離

各層のログと通信データを集約し、監視と対応に活用します。

  1. 監視と復旧アプリケーション、プロキシ、データウェアハウスの記録を関連付け、不審な管理操作、照会、エクスポートを調査してください。証拠を保全し、信頼できるバックアップを検証してください。

能動的なテストと再検証

許可を得たうえで資産探索、脆弱性スキャン、ペネトレーションテスト、API テスト、攻撃シミュレーションを実施し、すべての入口のエンドポイント遮断、修正バージョン、データ権限を確認してください。WAF やプロキシのルールは、リクエスト、アラート、実際の遮断、バックエンドの結果を照合し、プロキシを経由しない直接接続経路も確認して、調整後に再テストしてください。データの暗号化やマスキングでは復号権限を分離する必要があります。ディスク暗号化では、正規の照会権限を持つ侵害済みアカウントのアクセスを制限できません。

TWISA 会員ソリューション

公式情報

製品やサービスの詳しい内容については、各会員企業へお問い合わせください。

通知更新日：2026/11/06。製品のサポート状況と修正状況は、メーカーの最新情報をご確認ください。