En bref

  • CVE-2026-72898 : injection SQL non authentifiée dans Metabase permettant la prise de contrôle complète via l'API de réinitialisation de mot de passe, CVSS 10.0
  • Systèmes affectés : toutes les versions auto-hébergées de Metabase antérieures au patch d'août 2026 ; environ 2 500 instances accessibles sur internet
  • Action urgente : mettre à jour Metabase immédiatement — la vulnérabilité est dans le catalogue KEV CISA et a déjà compromis plusieurs fournisseurs cloud dont Framework, Anaconda et n8n

Les faits

CVE-2026-72898 est une vulnérabilité d'injection SQL critique affectant Metabase, l'outil d'analyse de données et de business intelligence open source largement déployé dans les startups, PME et entreprises tech pour leurs tableaux de bord et requêtes analytiques. La faille, notée CVSS 10.0 au score maximal, permet à un attaquant distant non authentifié d'injecter du SQL arbitraire dans la base de données interne de l'application et d'obtenir un accès administrateur complet sans disposer d'aucune identité préalable.

La chronologie est particulièrement préoccupante. Metabase a divulgué le 6 août 2026 qu'un incident de sécurité avait touché son environnement cloud, causé par une vulnérabilité alors inconnue — un zero-day utilisé contre la production même de l'éditeur avant que la faille ne soit caractérisée. Après investigation interne, la faille a été identifiée, tracée sous l'identifiant CVE-2026-72898, et un patch publié. Le 11 août 2026, la CISA confirmait l'exploitation active en ajoutant CVE-2026-72898 au catalogue KEV (Known Exploited Vulnerabilities).

Techniquement, la vulnérabilité réside dans l'endpoint de réinitialisation de mot de passe (/api/session/reset_password ou son équivalent selon la version). Cet endpoint, accessible sans authentification par conception fonctionnelle, ne valide pas suffisamment les paramètres entrants et permet l'injection de SQL arbitraire dans la requête sous-jacente exécutée contre la base de données interne de Metabase (H2 embarquée ou PostgreSQL/MySQL externe selon la configuration). L'injection permet à l'attaquant de modifier les données d'authentification d'un compte administrateur existant ou d'en créer un nouveau, lui conférant un accès complet à l'interface Metabase et à toutes les sources de données connectées.

L'impact d'une compromission va bien au-delà de l'outil lui-même. Metabase est typiquement connecté à des bases de données de production (PostgreSQL, MySQL, BigQuery, Snowflake, Redshift, etc.) contenant des données clients, financières ou opérationnelles critiques. Un attaquant ayant obtenu un accès admin à Metabase peut non seulement exfiltrer toutes ces données via des requêtes SQL directes depuis l'interface, mais également, selon la configuration des connexions aux sources de données, exécuter des requêtes destructrices ou exfiltrer des identifiants de connexion stockés dans la configuration Metabase.

L'ampleur de l'exposition est documentée par des analyses de la société Wiz, propriété de Google : environ 13 % des environnements cloud analysés hébergent au moins une instance Metabase auto-hébergée, et parmi celles-ci, environ 25 % sont entièrement accessibles depuis internet. Sur l'ensemble d'internet, quelque 2 500 instances Metabase seraient exposées publiquement et potentiellement exploitables. Cette masse d'instances constitue une cible idéale pour des campagnes d'exploitation automatisées.

Les victimes confirmées de la fenêtre de pre-patch incluent des entreprises tech connues : Framework (fabricant d'ordinateurs portables modulaires), Anaconda (plateforme de data science Python) et n8n (outil d'automatisation de workflows) ont chacun divulgué des accès non autorisés à des données clients survenu pendant la période où la faille était exploitable dans l'environnement cloud Metabase avant application du correctif. Ces divulgations illustrent concrètement l'impact d'une vulnérabilité CVSS 10.0 dans un outil SaaS multi-tenant.

Le bulletin d'alerte de The Hacker News confirme également la détection d'une variante de la faille sous l'identifiant CVE-2026-70468, décrite comme un zero-day distinct permettant également un accès administrateur sans authentification via un vecteur légèrement différent. Les chercheurs de Beazley Security ont publié une alerte couvrant les deux CVE, soulignant la profondeur des problèmes de validation dans le code de Metabase.

OffSec et SentinelOne ont publié des analyses techniques détaillées de CVE-2026-72898, et des outils de détection sont disponibles via Security Arsenal. La disponibilité de ressources offensives rend l'exploitation accessible même à des acteurs de faible sophistication technique.

Impact et exposition

Toute organisation hébergeant une instance Metabase auto-hébergée exposée sur internet et non patchée doit se considérer potentiellement compromise. L'exploitation ne requiert aucune connaissance préalable de l'environnement cible, aucune identité, et peut être réalisée de manière entièrement automatisée via des scripts de scan et d'exploitation disponibles publiquement.

L'impact d'une compromission est maximal : accès complet à l'interface d'administration Metabase, accès à toutes les sources de données connectées (bases de données, entrepôts cloud, APIs), exfiltration potentielle des identifiants stockés dans la configuration, et risque de mouvement latéral vers les systèmes de base de données de production. Pour les instances configurées avec des comptes de service à privilèges élevés, l'attaquant peut obtenir un accès direct en lecture-écriture aux bases de données de production.

Les secteurs les plus exposés sont la tech, le SaaS, l'e-commerce et les startups data-driven qui utilisent massivement Metabase pour leur analytics interne. Les entreprises ayant connecté Metabase à des bases de données contenant des données personnelles au sens du RGPD ont une obligation de notification auprès de la CNIL en cas de compromission avérée dans les 72 heures suivant la constatation.

Recommandations immédiates

  • Mettre à jour Metabase vers la version corrigée immédiatement — consulter les release notes officielles Metabase pour la version patchée (Security Advisory Metabase CVE-2026-72898)
  • Si la mise à jour n'est pas immédiatement possible, isoler l'instance Metabase derrière un VPN ou un réseau privé — ne jamais exposer Metabase directement sur internet
  • Auditer les logs d'accès Metabase pour détecter des requêtes anormales vers l'endpoint /api/session/reset_password depuis le 6 août 2026
  • Vérifier les comptes administrateurs Metabase pour détecter des créations ou modifications non autorisées
  • Contrôler les sources de données connectées pour détecter des requêtes d'exfiltration inhabituelles
  • Changer tous les identifiants de connexion aux sources de données stockés dans Metabase si une compromission est suspectée
  • Pour les instances cloud Metabase, vérifier les notifications de l'éditeur concernant l'incident d'août 2026

⚠️ Exploitation active confirmée — CISA KEV

CVE-2026-72898 est dans le catalogue KEV CISA depuis le 11 août 2026. L'exploitation a débuté avant même la divulgation publique (zero-day in-the-wild). Des victimes connues incluent Framework, Anaconda et n8n. Toute instance Metabase accessible sur internet doit être considérée comme compromise si elle n'a pas été patchée immédiatement après le 6 août 2026. Isolation réseau immédiate et investigation forensique recommandées.

Comment savoir si je suis vulnérable ?

Vérifiez la version de votre instance Metabase dans Paramètres > Admin > À propos. Comparez avec la version corrigée indiquée dans le Security Advisory Metabase CVE-2026-72898. Pour détecter une exploitation : cherchez dans vos logs Apache/Nginx des requêtes POST vers /api/session/reset_password avec des corps de requête inhabituels (payloads SQL), des connexions administrateur depuis des IP inconnues, et des requêtes volumineuses vers vos sources de données (signe d'exfiltration). L'outil de détection de Security Arsenal peut automatiser cette recherche. Vérifiez également si de nouveaux comptes admin ont été créés sans votre autorisation via Admin > People dans l'interface Metabase.

Votre stack data est-elle sécurisée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités dans vos outils d'analyse et d'infrastructure data.

Demander un audit