Metabase : injection SQL exploitée sans authentification, mise à jour et contrôle des sessions

En bref

• Le fait. Le 6 août 2026, Metabase a publié un avis sur une faille critique de son outil de tableaux de bord : un attaquant non authentifié peut injecter du SQL dans la base de l'application et obtenir les droits administrateur de l'instance. Le CERT-FR a publié l'alerte CERTFR-2026-ALE-010 le 10 septembre en signalant de nombreuses compromissions, puis l'a clôturée le 13 octobre 2026. Source : alerte du CERT-FR.
• Êtes-vous concerné ? Si votre entreprise ou un prestataire héberge une instance Metabase (outil de reporting connecté à vos bases de données), surtout si elle est accessible depuis Internet.
• Quoi faire :
  1. faites vérifier la version de Metabase et mettez à jour vers la version corrective de votre branche ;
  2. si l'instance était exposée sur Internet, appliquez les mesures de l'éditeur : révocation de toutes les sessions, contrôle des clés d'API et des comptes administrateur ;
  3. renouvelez les identifiants des bases de données connectées à Metabase.
• Urgence : élevée. Le CERT-FR a connaissance de nombreuses compromissions de Metabase vulnérables.

Détail technique

Identifiants. CVE-2026-72898, bulletin GHSA-vwf4-m7j8-wcjf. Injection SQL sans authentification, menant aux droits administrateur. Dans les numéros de version, « x » vaut 0 pour l'édition open source et 1 pour l'édition Enterprise. Avis CERT-FR associé : CERTFR-2026-AVI-1075.

Produits et versions.

• Metabase (édition open source 0.x et Enterprise 1.x) : versions affectées antérieures à x.58.28 ; x.59.x antérieures à x.59.25 ; x.60.x antérieures à x.60.21 ; x.61.x antérieures à x.61.15 ; x.62.x antérieures à x.62.13 ; antérieures à x.63.10 ; version corrigée : x.58.28, x.59.25, x.60.21, x.61.15, x.62.13 ou x.63.10 et ultérieures, selon la branche.

KEV. Oui : CVE-2026-72898 a été ajoutée au catalogue KEV de la CISA le 11 août 2026.

Exploitation active. Oui, selon le CERT-FR (nombreuses compromissions connues) et la CISA.

IOC publics. Le CERT-FR décrit les traces caractéristiques des tentatives dans les journaux applicatifs. Nous ne les recopions pas : reportez-vous à l'alerte du CERT-FR.

Remédiation.

• Mettre à jour vers la version corrective de la branche utilisée.
• À défaut, Metabase recommande de bloquer l'accès public au point d'entrée concerné décrit dans son bulletin (GHSA-vwf4-m7j8-wcjf).
• Si ce point d'entrée était public : révoquer toutes les sessions actives, supprimer les clés d'API non reconnues, contrôler les comptes administrateur, renouveler les identifiants des bases connectées, examiner les journaux et l'historique des requêtes.
• En cas de compromission, signaler l'événement au CERT-FR.