CVE-2026-72898 : Metabase SQL Injection CVSS 10.0 exploité

Les faits

Le 11 août 2026, la CISA a ajouté CVE-2026-72898 à son catalogue des vulnérabilités connues exploitées (KEV), fixant au 14 août 2026 la date limite de remédiation pour toutes les agences fédérales civiles américaines. Cette faille affecte Metabase, la plateforme open source d'analyse de données et de business intelligence utilisée par des milliers d'organisations dans le monde.

CVE-2026-72898 est une vulnérabilité d'injection SQL (CWE-89) résidant dans le endpoint /api/setup/reset_password de l'API Metabase. Un attaquant non authentifié peut injecter des instructions SQL arbitraires via ce paramètre, sans nécessiter aucun compte ou jeton d'accès. Le vecteur d'attaque est entièrement réseau (AV:N), avec une complexité d'attaque nulle (AC:L), aucun privilège requis (PR:N) et aucune interaction utilisateur (UI:N). L'impact est maximal sur la confidentialité, l'intégrité et la disponibilité (C:H/I:H/A:H). Le score CVSS v3.1 atteint 10.0/10 — la criticité absolue.

La root cause réside dans l'absence de paramétrage des requêtes SQL dans la fonctionnalité de réinitialisation de mot de passe. Metabase interroge directement sa base de données interne pour identifier l'utilisateur associé à un token de reset, sans sanitiser l'entrée. Un attaquant peut injecter une sous-requête SQL permettant de lire la table des utilisateurs administrateurs et de contourner l'authentification, obtenant ainsi un accès administrateur complet à l'instance Metabase. L'exploitation est triviale et ne nécessite qu'une requête POST forgée, sans prérequis technique avancé.

L'impact dépasse largement la simple compromission de l'interface Metabase. La plateforme étant conçue pour se connecter à des sources de données multiples — bases SQL, data warehouses, lacs de données — elle stocke en interne les chaînes de connexion et identifiants pour chaque source configurée. Un attaquant disposant d'un accès admin peut donc récupérer l'ensemble des credentials permettant d'accéder à des systèmes tiers : Databricks, MongoDB, Oracle, Snowflake, Amazon Redshift, Google BigQuery, PostgreSQL, MySQL, et bien d'autres. La compromission de Metabase devient ainsi une tête de pont vers l'ensemble du patrimoine data de l'organisation.

Selon Tenable et les rapports publiés par The Hacker News le 12 août 2026, la vulnérabilité a déjà été exploitée avec succès contre au moins cinq organisations, avec exfiltration des credentials de toutes les bases de données connectées. Les attaquants ont utilisé CVE-2026-72898 comme vecteur d'accès initial avant de pivoter vers les systèmes aval. L'exploitation active avant toute divulgation publique suggère que des acteurs de la menace avaient connaissance de la faille de manière indépendante, ce qui caractérise un usage en zero-day.

Metabase a publié le correctif dans la version 0.63.5 (et 1.63.5 pour l'édition Enterprise). La version cloud hébergée Metabase Cloud a été automatiquement mise à jour. Les instances auto-hébergées restent exposées jusqu'à l'application manuelle du patch. D'après les données de discovery réseau publiées par runZero, de nombreuses instances Metabase sont accessibles directement depuis Internet, notamment sur les ports TCP/3000 et TCP/443, sans couche d'authentification préalable.

La CISA a classifié CVE-2026-72898 sous le vendor Metabase avec le type de vulnérabilité SQL Injection dans son KEV Catalog. La directive BOD 22-01 impose aux agences fédérales américaines de corriger toute vulnérabilité KEV dans les délais impartis. La deadline de trois jours seulement après l'ajout au catalogue reflète la sévérité exceptionnelle de la menace active et la simplicité d'exploitation, accessible à des attaquants peu qualifiés.

Sur le plan de la timeline, Metabase avait reçu un rapport de divulgation responsable concernant cette faille. Cependant, l'exploitation active constatée avant la publication du correctif indique une découverte indépendante par des acteurs malveillants. Selon les données Shodan et runZero (Security Arsenal, 12 août 2026), plusieurs milliers d'instances Metabase sont exposées publiquement sur Internet, dont une proportion significative tourne encore sur des versions vulnérables faute de mise à jour automatique dans les déploiements self-hosted.

Impact et exposition

Toute organisation hébergeant une instance Metabase auto-hébergée en version 0.58 à 0.63.4 (ou Enterprise 1.58 à 1.63.4) est directement exposée à CVE-2026-72898. La condition d'exploitation est minimale : il suffit que l'interface Metabase soit accessible réseau depuis l'attaquant. Aucun compte utilisateur, aucune session active et aucune interaction humaine ne sont requis pour déclencher l'attaque.

La surface d'attaque est particulièrement préoccupante car Metabase est souvent déployé dans des environnements data-centriques, connecté à des bases de production, des data warehouses et des systèmes analytiques critiques. La compromission d'une instance Metabase peut aboutir à l'exfiltration de l'ensemble du patrimoine data d'une entreprise et à la compromission de toutes ses sources de données connectées. Dans les secteurs fintech, e-commerce et santé numérique, ces données incluent fréquemment des informations personnelles sensibles et des données financières réglementées.

L'exploitation active confirmée — avec au moins cinq entreprises breachées — place CVE-2026-72898 parmi les menaces immédiates les plus sérieuses de l'été 2026. Les instances accessibles via Internet sans protection réseau préalable représentent le risque le plus immédiat et doivent être traitées en priorité absolue.

Les attaquants ayant exploité cette vulnérabilité ont démontré la capacité à pivoter rapidement vers les systèmes aval une fois les credentials extraits. Une organisation compromise doit donc considérer l'ensemble de ses bases de données connectées à Metabase comme potentiellement compromises et procéder à une rotation complète des identifiants.

Recommandations immédiates

• Mettre à jour Metabase vers la version 0.63.5 ou supérieure (Enterprise : 1.63.5+) — Metabase Security Advisory 2026-08-11
• Si mise à jour impossible : bloquer l'accès à l'endpoint /api/setup/reset_password via pare-feu applicatif ou reverse proxy
• Restreindre l'accès réseau à Metabase aux seuls utilisateurs légitimes (VPN, liste blanche IP)
• Auditer les logs d'accès pour toute requête suspecte sur /api/setup/reset_password depuis des IP inconnues
• Procéder à une rotation immédiate de tous les identifiants de bases de données connectées à Metabase si une exposition est suspectée
• Indicateurs de compromission : requêtes POST anormales sur le endpoint reset_password, création de comptes admin non planifiés, requêtes SQL anormales dans les logs des bases connectées