Metabaseにゼロデイ脆弱性(CVE無し)、Framework・Tally等の顧客データが窃取される認証不要でSQLインジェクションから管理者権限を奪取|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月10日更新日時: 2026年08月10日

ビジネスインテリジェンス（BI）・データ可視化ツールを提供するMetabaseは2026年8月6日、自社が提供するMetabase Cloudが、認証不要のSQLインジェクションを悪用するゼロデイ攻撃を受けたと公式ブログで公表しました。この脆弱性を通じて、ノートPCメーカーのFrameworkや、オンラインフォーム作成サービスのTallyなど、Metabaseを分析基盤として利用していた複数の企業の顧客データが窃取されています。CVSSスコアは最大値の10.0と評価されており、自己ホスト型の利用者に対しては至急のアップデートが呼びかけられています。

この記事のサマリー

Metabaseは2026年8月6日、自社が提供するMetabase Cloudが、バージョン1.58以降に存在する未知の脆弱性（ゼロデイ）を悪用した攻撃を受けたと公表しました。
脆弱性は、認証を経ずにMetabaseのアプリケーションデータベースへ任意のSQLを注入できる欠陥で、攻撃者はこれを悪用してインスタンスの管理者権限を奪取できます。
管理者権限を奪取した攻撃者は、アプリケーションの設定変更、接続先データベースの認証情報の窃取、その認証情報でアクセス可能なあらゆるデータの読み取り・持ち出しが可能になります。
CVSSスコアは最大値の10.0（緊急）と評価されており、Metabase Cloudの利用者にはすでにパッチが適用済みですが、自己ホスト型（オンプレミス）で運用している利用者は、速やかなアップデートが必要です。
攻撃を受けたことが確認されている企業には、モジュール式ノートPCメーカーのFrameworkと、オンラインフォーム作成サービスのTallyが含まれます。Frameworkは全顧客の氏名・ログインIP・住所・電話番号・メールアドレスが、Tallyはメールアドレスとハッシュ化されたパスワードが、それぞれ影響を受けた可能性があるとしています。
攻撃の発生日は2026年8月3日で、Metabaseは8月6日にFrameworkへ、Tallyは同日に利用者へ、それぞれ通知しています。

整理表

項目	内容
公表日	2026年8月6日
公表元	Metabase（公式ブログ、CEO Sameer Al-Sakran氏）
脆弱性の種別	認証不要のSQLインジェクション
CVSSスコア	10.0（緊急）
CVE番号	採番なし（GitHubセキュリティアドバイザリGHSA-vwf4-m7j8-wcjfで管理）
影響を受けるバージョン	1.58以降（自己ホスト型）
攻撃発生日	2026年8月3日
影響	管理者権限の奪取、接続先データベースの認証情報窃取、データの読み取り・持ち出し
確認されている被害企業	Framework（ノートPCメーカー）、Tally（オンラインフォーム作成サービス）
Metabase Cloud利用者への対応	対応済み（自動的にパッチ適用）
自己ホスト型利用者への対応	至急のバージョンアップデートが必要
最小安全バージョン	0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5

Metabaseで何が起きたか

Metabaseの公式発表によると、同社はMetabase Cloudが、バージョン1.58以降に存在する未知のセキュリティ脆弱性（いわゆるゼロデイ）を悪用した攻撃者によって侵害されたことを確認しました。同社は攻撃に使用されたエンドポイントを直ちにブロックしたうえで、脆弱性を特定し修正を行ったとしています。

Metabase Cloudを利用している顧客のインスタンスは、すでにアップデート・パッチ適用が完了しています。一方、自己ホスト型でMetabaseを運用している利用者については、依然として脆弱性の影響を受ける可能性があるとして、速やかなアップデートを呼びかけています。

脆弱性の技術的な仕組み

この脆弱性は、Metabaseのパスワードリセット用エンドポイント（/api/session/reset_password）に存在する、認証を必要としないSQLインジェクションの欠陥です。攻撃者はこれを悪用し、Metabaseのアプリケーションデータベースに対して任意のSQLを注入することで、インスタンスの管理者権限を奪取できます。

管理者権限を奪取した攻撃者は、アプリケーションの設定を変更できるだけでなく、Metabaseに接続されている各データベースの認証情報を窃取し、その認証情報でアクセス可能なあらゆるデータを読み取り、外部へ持ち出すことが可能になります。BIツールという性質上、Metabaseには社内の複数のデータベースへの接続情報が集約されていることが多く、この一点が突破されることで、接続先のデータベース群全体が芋づる式に危険にさらされる構造になっています。

Metabaseが公開した攻撃パターンの特徴は、POST /api/session/reset_passwordへのリクエストがステータスコード400を返し、その直後にGET /api/user/currentへのリクエストがステータスコード200を返す、という一連の流れです。同社は、アプリケーションログやMetabaseサーバーの受信ログにこのパターンが見つかった場合、インスタンスが侵害されている可能性が高いと説明しています。

確認されている被害——Framework、Tally

ノートPCメーカーのFrameworkは、Metabaseから8月6日に、自社のインスタンスが8月3日に攻撃者によってアクセスされていたとの通知を受けたことを明らかにしています。Frameworkの調査では、全顧客の氏名、ログインIPアドレス、住所、電話番号、メールアドレスが攻撃者によってアクセスされたことが確認された一方、注文情報や決済情報へのアクセスは確認されていないとしています。同社は、データベースに登録されているすべての顧客が今回の事案の影響を受けたことを認めていますが、それが具体的に何人にあたるかは本記事執筆時点で公表されていません。

オンラインフォーム作成サービスのTallyも、8月3日に自社のMetabase分析環境が侵害されたことを利用者に通知しています。Tallyによると、攻撃者は利用者のメールアドレスと、暗号学的ハッシュ化されたパスワードにアクセスしましたが、ハッシュは一方向処理のため元のパスワードに戻すことはできないとしています。また、利用者が作成したフォームや、フォームに寄せられた回答は別途保管されており、今回の影響を受けていないとしています。

このほか、大手情報サービス企業のLexisNexisも、本件に関連するサイバー攻撃の影響を受けたと利用者に通知していることが報じられています。

情報システム部門が確認すべき対策ポイント

自己ホスト型でMetabaseを運用している場合、直ちに最新の安全なバージョン（0.58.24、0.59.21、0.60.17、0.61.11、0.62.9、0.63.5のいずれか、現在使用しているメジャーバージョンに対応するもの）へアップデートしてください。
アップデート前に/api/session/reset_passwordエンドポイントが外部からアクセス可能な状態だった場合は、アップデート後に以下の対応を行ってください。Metabaseアプリケーションデータベースのcore_sessionテーブルの全行を削除し、既存のセッションをすべて無効化する。APIキーを確認し、見覚えのないキーを削除する。管理者アカウントに不審な変更がないか確認する。接続先データベースの認証情報をすべてローテーションする。
アプリケーションログおよびMetabaseサーバーの受信ログを確認し、POST /api/session/reset_password（400）に続くGET /api/user/current（200）というパターンがないか調査してください。該当があれば侵害されている可能性があります。
データウェアハウス側のログも確認し、不正アクセスの痕跡がないか調査してください。
直ちにアップデートできない場合の暫定策として、/api/session/reset_passwordエンドポイントへのアクセスを一時的にブロックしてください。
自社がMetabaseを含むBIツール・分析基盤を利用している場合、そこに接続されているデータベースの認証情報の権限範囲を見直し、分析用途に必要な最小権限に絞られているかを確認してください。

委託先・SaaS経由の被害という構造

今回の事案は、BIツールという「データを可視化するための道具」が、複数のデータベースへの接続情報を集約する結果として、侵害された場合の影響範囲が非常に広くなるという構造的なリスクを示しています。自社のシステムが直接侵害されていなくても、利用している外部サービスが侵害されることで、顧客データが漏えいするという構図は、当サイトが継続して取り上げてきた「委託先・SaaS経由の被害」のパターンと共通しています。詳細は【2026年】サイバー攻撃・情報漏洩の最新事例でも解説しているとおり、自組織のセキュリティ対策がどれほど堅牢であっても、委託先・取引先が利用するツールの管理体制次第で被害を受けうるという構造が、今回もあらためて確認された形です。