30秒で分かる結論

米Metabase社は2026年8月6日(現地時間)、同社が提供するオープンソースのBI(ビジネスインテリジェンス、社内データを分析・可視化するためのソフトウェア)ツール「Metabase」に、CVSS(脆弱性の深刻度を示す共通の指標)スコアが最高値の10.0(10点満点)となる深刻な脆弱性が見つかったとするセキュリティアドバイザリを公開しました。識別番号「CVE-2026-72898」が割り当てられたこの脆弱性は、パスワード再設定機能のAPI(外部ソフトウェアが機能を呼び出すための窓口)エンドポイントに存在するSQLインジェクション(データベースへ不正な命令を紛れ込ませる攻撃手法)の欠陥で、認証情報も利用者の操作も必要とせず、悪用に成功すると攻撃者はMetabaseの管理者権限を奪い、接続先データベースの認証情報を盗み出すことができます。この脆弱性は、Metabaseが正式にアドバイザリを公開する前からすでに実際の攻撃で悪用されており、米国のサイバーセキュリティ機関CISAは2026年8月11日、この脆弱性を「悪用が確認された脆弱性」の一覧(KEVカタログ)に追加し、米連邦政府の民間機関に対して2026年8月14日、つまり日本時間で言う本日までの対応を義務付けました。

まず初めに

結論から言う。社内データを見やすくグラフ化してくれる便利ツールが、認証すら要らないSQL一発で乗っ取られる金庫番に成り下がった。しかもアドバイザリが公表された時点で、すでに何社かは実際にやられていたというから始末が悪い。CVSS10.0、これはもう「深刻」でも「重大」でもなく、脆弱性業界における殿堂入りの点数だ。企業がこぞって社内データの可視化に使うツールの認証まわりがザルだったとなれば、笑い事では済まされない。対応期限が「本日」と聞いて他人事でいられる情報システム担当者が、果たしてどれだけいるだろうか。※個人の感想です

何が起きているのか

Metabaseは、企業が持つ社内データベースに接続し、グラフやダッシュボードとして分かりやすく可視化するためのオープンソースのBIツールです。自社サーバーに導入する「セルフホスト版」と、Metabase社が運営する「Metabase Cloud」の両方で提供されています。今回の脆弱性は、パスワードを再設定する際に呼び出される「POST /api/session/reset_password」というAPIエンドポイントに存在します。Metabaseの説明によると、このエンドポイントがリクエストに含まれる想定外の項目を十分に制限していなかったため、本来は利用者を識別するための値として扱われるべきデータが、データベースへの問い合わせ文の一部としてそのまま解釈されてしまう不具合がありました。この結果、攻撃者は認証情報を一切持たず、遠隔から細工したリクエストを送りつけるだけで、SQL文を注入して管理者権限を奪えてしまいます。

Metabase社によると、この脆弱性を突いた攻撃は、同社が公式にアドバイザリを公開する前の2026年8月3日ごろから、Metabase Cloud上で「ゼロデイ攻撃」(修正プログラムが存在しない段階での攻撃)として行われていたことが判明しています。影響を受けるのはバージョン0.58.0から0.63.4まで(有償のEnterprise Edition版は1.58.0から1.63.4まで)の、いずれもパスワード再設定機能が有効になっているインストール環境です。Metabaseは対象となる各リリース系統ごとに修正版(0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5)を公開しており、直ちにアップグレードできない場合の一時的な回避策として、問題のパスワード再設定エンドポイントそのものをネットワーク側で遮断することを呼びかけています。

米CISA(サイバーセキュリティ・インフラセキュリティ庁)は、この脆弱性がすでに実際の攻撃で悪用されていることを踏まえ、2026年8月11日付で「KEV(Known Exploited Vulnerabilities)カタログ」に追加しました。CISAは米連邦政府の民間機関に対し、公開からわずか3日後の2026年8月14日までにこの脆弱性への対応を完了するよう義務付けています。これはこの朝刊で取り上げたCiscoのVPN機器の脆弱性(CVE-2026-20349)と同じ、8月11日付のKEVカタログ追加分に含まれるものです。

セキュリティ研究者や被害企業からの報告によると、2026年8月12日時点で少なくとも5社が、この脆弱性を突かれて被害を受けたことを公表しています。ワークフロー自動化サービスを提供するn8n社は8月8日、自社が運営するMetabase環境がこの脆弱性で侵害され、氏名・メールアドレスなどの顧客記録136件が影響を受けた可能性があると公表しました。内訳は、クラウド版のユーザー名とメールアドレスへのアクセスが確認されたもの7件、氏名・ユーザー名・メールアドレスに加えて暗号化(bcryptハッシュ化)されたパスワードへのアクセスが確認されたもの5件、氏名とメールアドレスへのアクセスがあった可能性がある残り62件などとなっています。n8n社は該当する可能性がある認証情報をすべて再発行し、データ保護当局へも報告したとしています。

なぜ重要なのか

BIツールは、その性質上、社内の複数のデータベースに接続する認証情報を保持していることが少なくありません。今回のように管理者権限そのものを奪われると、Metabaseの画面上で見える情報にとどまらず、接続先データベースの認証情報一式が盗まれ、そこからさらに広い範囲のデータへアクセスされるおそれがあります。1つのツールの欠陥が、接続先を芋づる式にたどって被害を広げていく「ブラストレディウス(被害の及ぶ範囲)」の広さが、今回の脆弱性が特に警戒されている理由です。

また、n8nをはじめとする被害企業は、いずれも自社のサービスを別の企業や開発者が利用する形の事業者です。Metabaseという1つのソフトウェアの脆弱性が、それを社内ツールとして使っていた事業者を経由して、さらにその先の利用者にまで影響が波及するという構図は、ソフトウェアの部品(コンポーネント)が幾重にも連なる現代のIT環境で繰り返し起きているパターンでもあります。

私たちへの影響

一般の消費者がMetabaseを直接操作する場面はなく、この脆弱性を理由に個人が今すぐ何か設定を変える必要はありません。一方で、ワークフロー自動化サービスなど、社内でMetabaseを分析ツールとして使っている企業のサービスを利用している方は、そうした企業から情報漏えいの通知が届いていないか、念のため確認しておくと安心です。心当たりのある通知が届いた場合は、該当サービスで使っていたパスワードを他のサービスで使い回していないか、あわせて確認することをおすすめします。

勤務先や取引先でMetabaseを導入している場合、情報システム担当者は修正版へのアップグレードを最優先で行う必要があります。直ちにアップグレードできない場合は、Metabase社が案内している通り、パスワード再設定エンドポイントの遮断を暫定的な対策として実施し、あわせて接続先データベースの認証情報のローテーション(変更)も検討することが推奨されます。

初心者が知っておくべきこと

「SQLインジェクションえすきゅーえるいんじぇくしょん」とは、Webサイトやアプリケーションがデータベースとやり取りする際に使う「SQL」という命令文の仕組みを悪用し、本来入力されるはずのないデータの中に不正なSQL命令を紛れ込ませることで、データベースを攻撃者の意図通りに操作してしまう攻撃手法です。ログインフォームや検索機能、今回のようなパスワード再設定機能など、利用者が何らかの文字列を入力してデータベースに問い合わせを行う仕組みがある場所であれば、対策が不十分だと標的になり得ます。古くから知られる代表的な攻撃手法ですが、対策の不備によって現在も発生し続けています。

IT Postの見方

IT Postでは、今回の一件がまず突きつけているのは、社内の重要なデータを扱うツールであっても、入力値のチェックといった基本的な対策が徹底されていなければ簡単に崩れるという、身も蓋もない現実だと考えます。派手な機能や利用企業数を誇るソフトウェアほど、地味な入力チェックの徹底にも同じだけの本気度を見せてほしいというのが率直な感想です。

もう一つ気になるのは「5社が公表」という数字の重みです。今回のように被害を自主的に公表した企業がある一方で、公表義務のない事業者が黙って被害を抱え込んでいる可能性は十分にあります。実害が及んだ利用者に届くはずの情報が、公表するかどうかという各社の判断に委ねられている構造そのものに、IT Postは危うさを感じます。※個人の感想です

今後どうなりそうか

CISAが定めた米連邦政府機関向けの対応期限は2026年8月14日で、日本時間ではすでに到来しています。民間企業や日本国内の組織に法的な対応義務はありませんが、KEVカタログに掲載された脆弱性は世界中の攻撃者に悪用の対象として広く知られる傾向があるため、Metabaseを利用する組織は速やかな対応が求められます。被害を公表する企業は今後も増える可能性があり、IT Postでは日本国内での被害報告や新たな進展があれば改めて取り上げます。