Metabase に SQL インジェクション（CVE-2026-72898）— 認証不要で管理者権限を奪われうる、是正期限は追加から3日

1SQLインジェクションとは

SQLインジェクションは、アプリケーションが利用者からの入力をそのままデータベースへの命令文（SQL）に組み込んでしまうことで、攻撃者が本来意図されていない命令を実行できてしまう欠陥です。データを読み出す、書き換える、削除する——データベースに対してできることは、原理的にすべて可能になりえます。

古くから知られた脆弱性の型でありながら、いまだにKEVへ追加され続けているのは、入力の扱いがアプリケーションのあらゆる場所に散らばっているためです。

2「管理者権限を得られる」という帰結

CISAの説明で重いのは、注入の先が「インスタンスの管理者権限」につながると明記されている点です。認証を通っていない状態から、いきなり管理者になれるという構図であり、そこから設定の変更や保存された認証情報の窃取が続きうるとされています。

BIツールは、社内の各種データベースへ接続するための認証情報を集約して保持することが多く、そこが奪われれば被害は Metabase 自体にとどまりません。

3是正期限が3日という異例の短さ

注目すべきは日付です。KEV追加が2026年8月11日、是正期限が2026年8月14日で、その差はわずか3日です。CISAの求める対応は「ベンダーの指示に従って緩和策を適用し、BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）およびフォレンジック・トリアージ要件に従うこと」とされています。

従来のKEVでは2〜3週間の期限が一般的でしたが、本件のように数日に短縮された案件が現れている点は、運用側の前提が変わりつつあることを示します。

4BIツールが持っているもの

この脆弱性の帰結は Metabase の中で終わりません。BIツールが何を保持しているかが、被害の範囲を決めます。

1. 1認証を通っていない状態から始まるSQLインジェクションが成立する
2. 2インスタンスの管理者権限を得る設定の変更ができる立場に立つ
3. 3保存された認証情報を奪うBIツールは社内の各種データベースへの接続情報を集約して保持する
4. 4被害がMetabaseの外へ出る接続先のデータベースへ届く

KEV追加が2026年8月11日、是正期限が2026年8月14日で、その差はわずか3日です。従来のKEVでは2〜3週間の期限が一般的でしたが、数日に短縮された案件が現れている点は、運用側の前提が変わりつつあることを示します。認証情報を保持する製品であるため、更新に加えて、接続先データベースの資格情報の再発行を検討する価値があります。