CVE-2026-72898 : Metabase SQLi non-authentifié exploité, CERT-FR

Les faits

Le 6 août 2026, Metabase a publié un avis de sécurité critique concernant CVE-2026-72898, une vulnérabilité d'injection SQL exploitable sans authentification dans son application de business intelligence et de visualisation de données. Le CERT-FR a émis l'alerte CERTFR-2026-ALE-010 le 10 septembre 2026, signalant qu'il a connaissance de nombreuses compromissions d'instances Metabase vulnérables, ce qui en fait l'une des menaces les plus actives de septembre 2026 pour les organisations françaises. La faille est classée critique et permet à un attaquant distant non authentifié d'obtenir un accès administrateur complet à l'application Metabase et à l'ensemble des données qu'elle contient.

Techniquement, CVE-2026-72898 réside dans l'endpoint de réinitialisation de mot de passe de l'API Metabase, accessible via une requête POST vers /api/session/reset_password. Cet endpoint ne requiert aucune authentification, car il est conçu pour être accessible par des utilisateurs ayant perdu leur mot de passe. Cependant, les paramètres de cette requête ne font pas l'objet d'une validation et d'une échappement corrects avant leur utilisation dans une requête SQL interne. Un attaquant peut injecter des instructions SQL arbitraires dans la base de données applicative interne de Metabase (H2, PostgreSQL, MySQL ou autre selon la configuration) et extraire ou modifier n'importe quelle donnée.

La chaîne d'exploitation décrite par les chercheurs ayant publié l'advisory GitHub (GHSA-vwf4-m7j8-wcjf) montre un scénario en deux étapes : premièrement, injection SQL non authentifiée via le POST /api/session/reset_password pour créer ou modifier un compte administrateur, suivie d'une requête GET /api/user/current retournant HTTP 200, confirmant l'accès administrateur obtenu. Une fois administrateur, l'attaquant peut accéder à tous les tableaux de bord et requêtes sauvegardés, aux connexions aux bases de données configurées dans Metabase (incluant leurs credentials de connexion), et peut potentiellement utiliser la fonctionnalité d'exécution de requêtes natives pour atteindre les bases de données sources connectées à Metabase.

Les indicateurs de compromission identifiés par le CERT-FR incluent des séquences de requêtes caractéristiques dans les logs d'accès web : une requête POST vers /api/session/reset_password retournant un code HTTP 400 (ce qui peut sembler anodin), immédiatement suivie d'une requête GET vers /api/user/current retournant HTTP 200, ce qui indique un accès authentifié non légitime. Cette signature d'exploitation est suffisamment distinctive pour être détectée par des règles SIEM ou WAF.

Metabase est une plateforme de business intelligence open source très populaire utilisée par des entreprises de toutes tailles pour créer des tableaux de bord et analyser des données. Sa facilité de déploiement (disponible en Docker, Kubernetes, JAR Java standalone) a conduit à de nombreuses instances exposées publiquement sur Internet, parfois sans mesures de sécurité réseau supplémentaires. Des analyses Shodan et Censys effectuées par plusieurs équipes de threat intelligence estiment à plusieurs dizaines de milliers le nombre d'instances Metabase directement accessibles depuis Internet dans le monde, constituant une surface d'attaque très large.

La particularité préoccupante de CVE-2026-72898 est qu'une exploitation réussie ne se limite pas à Metabase lui-même. Metabase est conçu pour se connecter à diverses bases de données d'entreprise (PostgreSQL, MySQL, BigQuery, Snowflake, Redshift, MongoDB, etc.) avec des comptes de service souvent dotés de droits en lecture sur des volumes considérables de données sensibles. Un attaquant ayant obtenu l'accès administrateur à Metabase peut récupérer les credentials de connexion à ces bases de données depuis l'interface d'administration et les exploiter directement, étendant massivement l'impact de la compromission bien au-delà de l'application Metabase elle-même.

Le fait que le CERT-FR ait attendu le 10 septembre 2026 pour émettre l'alerte CERTFR-2026-ALE-010, soit plus d'un mois après la publication du correctif par Metabase le 6 août 2026, révèle une problématique importante : de très nombreuses organisations n'avaient pas appliqué le patch malgré sa disponibilité, laissant leurs instances exposées pendant toute cette période. Les acteurs malveillants disposaient donc d'une fenêtre d'exploitation d'un mois avant l'alerte française, ce qui explique le nombre élevé de compromissions constatées.

Le tweet du CERT-FR du 10 septembre 2026 précise explicitement : « Le CERT-FR a connaissance de nombreuses compromissions de Metabase vulnérables à l'injection SQL CVE-2026-72898 », confirmant une vague d'attaques active ciblant des organisations françaises. Des rapports de BleepingComputer et SecurityWeek mentionnent des campagnes de vol de données client par des groupes cybercriminels exploitant cette faille, notamment dans des secteurs utilisant Metabase pour des analyses financières et des données de santé.

Impact et exposition

Metabase est fréquemment déployé par des équipes data et des startups comme outil d'analyse rapide, souvent en dehors des processus habituels de gestion des patches de la DSI. Ces déploiements informels, parfois exposés directement sur Internet via un sous-domaine ou un port non standard, constituent des cibles faciles pour des attaquants exploitant CVE-2026-72898 de manière automatisée.

L'impact d'une exploitation réussie peut inclure : l'exfiltration de toutes les données analysées par Metabase (données clients, données financières, métriques internes), la récupération des credentials de connexion aux bases de données sources (permettant d'attaquer directement les bases de production), la création de backdoors persistantes dans Metabase via de nouveaux comptes administrateurs, et la modification ou suppression de tableaux de bord et rapports métier critiques.

Les organisations particulièrement exposées sont celles ayant connecté Metabase à des bases de données contenant des données personnelles (soumises au RGPD), des données financières réglementées, ou des données médicales. Une compromission peut constituer une violation de données au sens du RGPD, entraînant une obligation de notification à la CNIL dans les 72 heures.

La condition principale d'exploitation est que l'instance Metabase soit accessible depuis le réseau de l'attaquant. Les instances exposées directement sur Internet sans authentification préalable (SSO d'entreprise, reverse proxy avec contrôle d'accès) sont immédiatement vulnérables. Les instances internes accessibles uniquement via VPN sont moins exposées aux attaques externes mais restent vulnérables à des attaquants ayant déjà accès au réseau.

Recommandations immédiates

• Mettre à jour immédiatement vers les versions corrigées : 0.58.28+, 0.59.25+, 0.60.21+, 0.61.15+, 0.62.13+ ou 0.63.10+ selon la branche utilisée — advisory Metabase GHSA-vwf4-m7j8-wcjf
• Analyser les logs d'accès web pour détecter la signature d'exploitation : POST /api/session/reset_password (HTTP 400) suivi de GET /api/user/current (HTTP 200) depuis une même adresse IP
• Auditer immédiatement la liste des comptes administrateurs Metabase pour détecter des comptes créés de manière non autorisée
• Vérifier l'intégrité des credentials de connexion aux bases de données sources configurées dans Metabase et les faire pivoter si une compromission est suspectée
• Si la mise à jour immédiate est impossible, isoler l'instance Metabase derrière un VPN ou un reverse proxy avec authentification forte en attendant le patch
• Notifier la CNIL dans les 72 heures si des données personnelles ont potentiellement été exfiltrées (obligation RGPD Art. 33)