脆弱性の経緯・最終更新 2026-10-09

CVE-2026-72898（MetabaseにおけるSQLインジェクションの脆弱性 (CVE-2026-72898)）

初出2026-08-12

報じた回数5 号・5 本

CISA KEVKEV掲載

■ これまでの経緯（配信した記事）

2026-08-12（水）要対応

KEVMetabaseにおけるSQLインジェクションの脆弱性 (CVE-2026-72898)

Metabaseに未認証のリモート攻撃者がアプリケーションデータベースへ任意のSQLをインジェクションできるSQLインジェクションの脆弱性が存在する。この脆弱性の悪用により、攻撃者はインスタンスの管理者アクセス権を取得する可能性がある。さら…
2026-08-19（水）脅威動向

⚠️ [継続注意] MetabaseにSQLインジェクション脆弱性、ゼロデイ悪用確認

Metabaseに存在するSQLインジェクションの脆弱性（CVE-2026-72898）です。認証なしで不正なSQLクエリを実行されることで、遠隔から管理者権限を奪取されるおそれがあり、すでにゼロデイ攻撃やPoCの存在が確認されています。
2026-09-06（日）注目事例

Trezor、配送委託先の情報漏洩で米顧客データ6.7万件影響

ハードウェアウォレット製造のTrezorは、配送委託先であるShipMonk社のセキュリティインシデントにより、新たに約67,000人の米国の顧客データが影響を受けたことを公表しました。流出した情報には氏名や連絡先、注文番号などが含まれてお…
2026-10-02（金）注目事例

🔄 [続報] VOISINGのBIツールに不正アクセス、約17万件の個人情報流出

株式会社VOISINGは、同社が利用するBIツールへの不正アクセスにより、約17万件の顧客の個人情報が漏えいしたと公表しました。BIツールの脆弱性に対する修正プログラムの適用が間に合わなかったことが原因とされています。
2026-10-09（金）脅威動向

🔄 [続報] 日本国内の組織でWebデータ流出が急増、API乱用や脆弱性悪用

JPCERT/CCやマクニカなどの調査により、日本国内の組織における個人情報のデータ流出インシデントが2026年に入り急増していることが報じられました。主な侵入経路として、モバイルアプリのAPI乱用やBIツール等の既知の脆弱性悪用が確認され…

最新の記事の対策・点検ポイント（2026-10-09）

推奨される防御アクション

Metabaseを最小安全リリースまたは修正版へアップデートする

Metabaseの /api/session/reset_password エンドポイントへの外部からのアクセスを一時的にブロックする

APIエンドポイントごとに適切なアクセス制御とレートリミットを実装する

この脆弱性の続報も、毎朝メールで受け取れます。

無料で購読する →