2026.10.19

2026年9月度 MBSD-SOCの検知傾向トピックス

MetabaseにおけるSQLインジェクションの脆弱性（CVE-2026-72898）を狙った攻撃

　今月は、オープンソースのBIツール「Metabase」の脆弱性（CVE-2026-72898）を狙った攻撃が増加しました。本脆弱性は、8/6(木)に公開されたもので、攻撃者に悪用された場合、認証を回避され管理者権限を取得されてしまう可能性があります。

　本脆弱性のCVSS v3.0値（脆弱性の深刻度）は、10.0（Critical）と評価されており、既にPoC（概念実証コード）が公開されているため、該当製品を使用されている場合は、早急に最新のバージョンにアップデートすることをお勧めします。

　下図は、本脆弱性を狙った攻撃の検知数推移および攻撃元国です。弊社SOCでは8/19(水)に初めて検知して以降、断続的に検知しておりましたが、9月に入り検知数が増加しました。

図. Metabaseの脆弱性（CVE-2026-72898）を狙った攻撃の検知数推移

　以下は、弊社SOCで検知した攻撃例です。「/api/session/reset_password」エンドポイントに細工したJSONデータを送信し、SQLインジェクション攻撃の成功可否を確認する通信となっています。

図. Metabaseの脆弱性（CVE-2026-72898）を狙った攻撃例
POST /api/session/reset_password HTTP/1.1 Host: www.example.com User-Agent: metabase-cve-2026-72898-detect/1.0 (benign detection probes only) Content-Length: 50 Content-Type: application/json Accept-Encoding: gzip Connection: close {"token":{"select":1},"password":"TestPassword1!"}

　本脆弱性（CVE-2026-72898）の影響対象は以下の通りです。しかしながら、Metabaseには他の脆弱性も報告されているため、本製品を使用されている場合は、最新のバージョンにアップデートすることをお勧めします。

影響対象