Metabase CVE-2026-72898: SQL-инъекция CVSS 10.0 дала полный доступ к BI-данным без пароля

Что произошло с Metabase

Metabase — это широко распространённый open-source инструмент бизнес-аналитики (BI). Организации используют его, чтобы подключать реляционные базы данных, строить дашборды и делиться отчётами без написания SQL вручную. По данным компании, Metabase используют более 57 000 организаций по всему миру.

2–3 августа 2026 года неизвестные атакующие воспользовались уязвимостью в публичной версии Metabase Cloud. Сам Metabase зафиксировал атаку 3 августа: компания заблокировала уязвимый эндпоинт и выпустила патч в течение нескольких часов. 7–8 августа 2026 года последовало публичное раскрытие информации, а пострадавшие клиенты получили уведомления.

11 августа 2026 года CISA (Агентство по кибербезопасности и защите инфраструктуры США) внесла CVE-2026-72898 в каталог активно эксплуатируемых уязвимостей (KEV) с дедлайном для федеральных ведомств — 14 августа 2026 года.

Как работает уязвимость CVE-2026-72898

Уязвимость представляет собой SQL-инъекцию без аутентификации в эндпоинте POST /api/session/reset_password. Этот публичный маршрут предназначен для сброса пароля — он доступен всем без авторизации по замыслу разработчиков.

Проблема в том, что Metabase передавал пользовательский ввод в запрос к внутренней базе данных приложения без надлежащей санации. Атакующий мог внедрить произвольный SQL в тело POST-запроса, что позволяло:

• создать учётную запись администратора без существующих прав;
• изменить конфигурацию приложения;
• похитить учётные данные для подключённых баз данных;
• получить доступ ко всем данным из подключённых хранилищ.

Обнаружить попытку атаки можно по логам: POST-запрос к /api/session/reset_password с ответом 400, за которым немедленно следует GET к /api/user/current с ответом 200 — это признак успешной эксплуатации.

Кого затронул взлом

На момент публичного раскрытия информации (8 августа 2026 года) подтверждены четыре пострадавшие организации:

Все четыре компании уведомили пострадавших пользователей и отозвали или сбросили скомпрометированные данные. Количество организаций, пользующихся самостоятельно развёрнутыми (self-hosted) версиями Metabase и также подвергшихся атаке, остаётся неизвестным.

Какие версии Metabase уязвимы и как обновиться

Уязвимость CVE-2026-72898 присутствует в Metabase версий 1.58.0 и выше до выхода патча. Исправленные выпуски вышли 7–8 августа 2026 года:

Версии Metabase Cloud были обновлены компанией автоматически сразу после обнаружения атаки. Для self-hosted установок обновление необходимо выполнить вручную.

Что делать администраторам прямо сейчас

Если вы используете self-hosted Metabase — проверьте версию и при необходимости обновитесь немедленно. Помимо обновления, исследователи рекомендуют:

1. Обновить Metabase до безопасной версии из таблицы выше (docker pull / пакетный менеджер в зависимости от способа установки).
2. Отозвать все активные сессии — сбросьте API-ключи и активные токены пользователей через консоль администратора.
3. Сменить пароли всех учётных записей администратора и проверить список существующих пользователей на предмет посторонних аккаунтов.
4. Ротировать учётные данные подключённых баз данных — все connection strings, которые хранятся в Metabase, следует считать скомпрометированными.
5. Проверить логи на наличие POST /api/session/reset_password с кодом 400, после которого идёт GET /api/user/current с кодом 200 в тот же промежуток времени.
6. Временная мера до обновления: ограничьте сетевой доступ к Metabase файерволом — закройте эндпоинт /api/session/reset_password на уровне nginx/reverse proxy, если обновление невозможно немедленно.

Почему это важно для тех, кто работает с данными и файлами

Metabase — это инструмент, который подключается к реальным хранилищам данных: PostgreSQL, MySQL, SQLite, CSV-файлам, таблицам Google Sheets и десяткам других источников. Когда Metabase скомпрометирован, атакующий получает доступ ко всем данным во всех подключённых источниках — не только к самой BI-платформе.

История CVE-2026-72898 — это хорошая иллюстрация системного принципа: безопасность данных определяется самым слабым звеном в цепочке доступа. Как и в случае с сомнительными CVE в SQLite, угроза приходит не напрямую к файлам, а через инструмент, который их читает и обрабатывает. Поэтому обновления BI-платформ и аналитических инструментов не менее важны, чем обновления самих СУБД.

Если вы храните чувствительные данные в подключённых к Metabase базах данных — ознакомьтесь с нашим разделом безопасность файлов и данных, где собраны практические советы по защите хранилищ и безопасной передаче файлов.

Источники

• The Hacker News — Metabase Zero-Day Exploited in the Wild (август 2026)
• BleepingComputer — Framework, Tally disclose Metabase data-theft attacks (август 2026)
• SecurityWeek — Metabase Patches Vulnerability Exploited as Zero-Day (август 2026)
• Help Net Security — Metabase zero-day exploited to access customer data (август 2026)