CVE-2026-72898 : injection SQL CVSS 10.0 dans Metabase, le CERT-FR alerte sur des compromissions actives

Les faits

Le CERT-FR a publié le 10 septembre 2026 l'alerte CERTFR-2026-ALE-010 signalant de nombreuses compromissions de serveurs Metabase vulnérables à CVE-2026-72898. Cette annonce fait suite à la divulgation initiale de la faille par Metabase le 6 août 2026 — une divulgation intervenue après que la vulnérabilité avait déjà été exploitée comme zero-day dans des attaques ciblées.

CVE-2026-72898 est une injection SQL non authentifiée d'une sévérité maximale, évaluée CVSS 10.0 par Metabase et le NVD. La faille réside dans l'endpoint /api/session/reset_password de l'application. Un attaquant non authentifié peut injecter des commandes SQL arbitraires dans la base de données applicative Metabase via ce point d'entrée, normalement destiné à initier une procédure de réinitialisation de mot de passe. L'absence de paramétrage correct des requêtes transforme cet endpoint bénin en vecteur d'attaque complet.

Les conséquences d'une exploitation réussie sont larges. L'attaquant peut en premier lieu extraire les credentials stockées pour les bases de données connectées à Metabase — sources de données BI configurées par les équipes analytics, qui incluent fréquemment des bases de production contenant des données clients, financières ou médicales. Il peut ensuite lire l'intégralité des données accessibles via ces connexions et les exporter. Dans certaines configurations, l'accès administrateur à l'instance Metabase elle-même peut être obtenu, permettant de modifier les dashboards, d'exfiltrer tous les datasets et de pivoter vers d'autres systèmes internes.

La surface d'attaque est significative. Metabase est l'un des outils de business intelligence open source les plus déployés au monde. Selon les scans de surface d'attaque réalisés par Dataminr en août et septembre 2026, des milliers d'instances publiquement accessibles restent dans des versions vulnérables (0.58 à 0.63.4). La présence de ces instances dans des secteurs critiques est documentée : gouvernement, santé, énergie, finance, télécoms, aviation et grandes organisations publiques. Le Centre for Cyber Security de Belgique (CCB) a publié son propre avertissement urgeant un patch immédiat.

L'exploitation zero-day, confirmée avant la publication des correctifs, indique que des acteurs avaient connaissance de la vulnérabilité en amont de sa divulgation publique. Le vecteur de découverte initial n'a pas été rendu public par Metabase. Plusieurs instances gouvernementales européennes figurent parmi les organisations potentiellement exposées selon des sources proches des équipes de réponse à incident nationales.

Metabase a publié des correctifs pour les branches 0.x (open-source) et 1.x (Enterprise). Les versions corrigées sont disponibles depuis le 6 août 2026. La remédiation exige une mise à jour vers au minimum la version 0.63.5 ou supérieure pour la branche open-source. Les instances cloud hébergées par Metabase ont été patchées automatiquement et ne sont pas concernées — seuls les déploiements auto-hébergés sont à risque.

Le délai entre la publication du patch (6 août 2026) et l'alerte CERT-FR (10 septembre 2026) illustre un problème récurrent dans la gestion des instances auto-hébergées d'outils open source : les équipes qui opèrent ces outils en dehors d'un processus de patch management structuré peuvent rester vulnérables pendant des semaines. Metabase, déployé principalement par des équipes data et analytics — rarement en charge de la gestion des vulnérabilités — est particulièrement exposé à ce décalage entre disponibilité du patch et application effective.

Depuis l'alerte CERT-FR, plusieurs incidents impliquant CVE-2026-72898 ont été signalés via les canaux de réponse à incident européens. Les vecteurs d'entrée confirmés sont des instances Metabase exposées directement sur internet, sans restriction d'accès par adresse IP ou par VPN, dans des environnements où les mises à jour logicielles ne sont pas systématiques.

L'impact potentiel sur la conformité réglementaire est notable. Une instance Metabase compromise peut constituer une violation de données au sens du RGPD si les bases de données connectées contiennent des données personnelles. Les organisations concernées ont une obligation de notification à la CNIL dans les 72 heures suivant la prise de connaissance de la violation, conformément à l'article 33 du RGPD.

Impact et exposition

Toute instance Metabase auto-hébergée en version 0.58 à 0.63.4 accessible depuis internet ou depuis un réseau non cloisonné est exposée. Aucune authentification n'est requise pour l'exploitation. L'impact potentiel inclut l'exfiltration des données de toutes les sources de données connectées — ce qui peut représenter l'intégralité du patrimoine analytique de l'organisation. Les secteurs les plus critiques exposés sont la santé (données médicales), la finance (transactions, données clients) et le secteur public (données personnelles, documents administratifs).

Recommandations

• Mettre à jour immédiatement Metabase vers la dernière version stable (minimum 0.63.5 ou 1.63.5 pour la branche Enterprise).
• Si la mise à jour immédiate est impossible, bloquer l'accès à /api/session/reset_password au niveau du reverse proxy (nginx, Apache, HAProxy) en attendant le patch.
• Auditer les journaux d'accès Metabase et les logs de la base de données depuis le 6 août 2026 : requêtes SQL anormalement longues ou contenant UNION, SLEEP, INTO OUTFILE.
• Vérifier et remplacer les credentials stockés dans Metabase pour les sources de données connectées si une compromission est suspectée.
• Restreindre l'accès à Metabase aux seuls réseaux internes ou via VPN — ne jamais exposer l'interface sur internet sans authentification forte en amont.
• En cas de compromission confirmée impliquant des données personnelles : notifier la CNIL dans les 72 heures (article 33 RGPD).