CVE-2026-72898: Metabase CVSS 10 entra no KEV da CISA

A agência de cibersegurança dos Estados Unidos adicionou a vulnerabilidade CVE-2026-72898 ao catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV) da CISA em 11 de agosto de 2026, dando apenas três dias para que organizações apliquem a correção. A falha de injeção SQL no Metabase — ferramenta open source de análise de dados — recebeu pontuação CVSS 10,0 e permite que atacantes remotos sem autenticação assumam o controle total de instâncias expostas. O prazo final de remediação fixado pela CISA expira em 14 de agosto de 2026.

O ataque explora o endpoint /api/session/reset_password, por onde um invasor consegue injetar comandos SQL no banco de dados interno da aplicação Metabase e obter acesso de administrador. A partir daí, é possível roubar credenciais armazenadas dos bancos de dados conectados, ler e exportar dados sensíveis e reconfigurar a instância. A Metabase confirmou exploração ativa após um ataque à sua própria infraestrutura na nuvem utilizando uma vulneração desconhecida.

Como funciona a falha

A vulnerabilidade explora a ausência de sanitização adequada no endpoint de redefinição de senha. O registro no NVD descreve que o atacante remoto e não autenticado consegue injetar SQL arbitrário por meio do endpoint /reset_password e obter acesso de administrador à instância conectada do Metabase. A classificação CWE-89 confirma tratar-se de uma injeção SQL clássica.

O vetor CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H mostra que a exploração ocorre pela rede, exige baixa complexidade técnica, não requer privilégios prévios nem interação humana e provoca impacto total em confidencialidade, integridade e disponibilidade. O atributo de escopo alterado (Scope: Changed) significa que o comprometimento da instância Metabase se propaga para todos os bancos de dados conectados a ela.

A Metabase identificou um padrão de ataque específico em seus logs de produção: uma chamada POST /api/session/reset_password com status HTTP 400, imediatamente seguida por GET /api/user/current com status 200 — sinal de que o atacante já obteve uma sessão autenticada após a injeção bem-sucedida.

Versões afetadas e correção

A Metabase liberou correções para todas as versões principais a partir da linha 58. Instâncias anteriores à versão 0.58 não são afetadas. A tabela resume as versões mínimas seguras para cada linha:

Clientes do Metabase Cloud já estão protegidos, pois a plataforma foi atualizada automaticamente após a detecção do incidente. Instâncias auto-hospedadas exigem atualização manual e imediata para a versão corrigida correspondente.

Como detectar o ataque

Administradores devem inspecionar os logs de acesso da aplicação e os logs de ingress do servidor procurando os indicadores de comprometimento (IOC) descritos pela Metabase:

1. Sinal primário: requisição POST /api/session/reset_password retornando HTTP 400.
2. Confirmação de comprometimento: requisição subsequente GET /api/user/current retornando HTTP 200, indicando sessão obtida pelo atacante.
3. Auditoria de sessões: consultar a tabela core_session em busca de registros criados em horários atípicos.
4. Chaves de API: revisar e remover quaisquer chaves não reconhecidas pelos administradores.
5. Contas administrativas: verificar alterações não autorizadas em contas com privilégios elevados.

A presença combinada do sinal primário e da confirmação nos logs indica alta probabilidade de comprometimento e exige ativação imediata do plano de resposta a incidentes.

Passos após atualizar

A Metabase recomenda que, após aplicar a correção em qualquer instância cujo endpoint de redefinição de senha estivesse publicamente acessível, os administradores executem o seguinte procedimento de contenção e verificação:

1. Revogar todas as sessões ativas removendo todos os registros da tabela core_session no banco de dados da aplicação.
2. Revisar e excluir qualquer chave de API que não tenha sido criada por administradores legítimos.
3. Auditar contas de administrador quanto a criação indevida ou alteração de permissões.
4. Rotacionar as credenciais de todos os bancos de dados conectados ao Metabase.
5. Examinar os logs dos data warehouses conectados em busca de consultas não autorizadas.
6. Revisar o histórico de atividade e consultas do Metabase em busca de operações anômalas.

Para equipes que não consigam atualizar de imediato, a Metabase orienta como mitigação temporária bloquear o acesso ao endpoint /api/session/reset_password por meio de regras de firewall de aplicação (WAF) ou proxy reverso.

Contexto do KEV da CISA

A CVE-2026-72898 chegou ao catálogo KEV — que reunia 1.665 vulnerabilidades em 13 de agosto de 2026 — no mesmo lote que incluiu a CVE-2026-68820 (Windows AFD) e a CVE-2026-20349 (Cisco ASA/FTD). O prazo de três dias imposto pela CISA reflete a combinação de exploração ativa confirmada com impacto técnico total na avaliação SSVC do coordenador.

Outras falhas críticas adicionadas recentemente ao catálogo incluem a CVE-2026-9198 no Langflow, que permite execução remota de código sem autenticação em deployments padrão, e a CVE-2026-18577 no N-central, que permite bypass de autenticação e tomada de conta na plataforma de gestão remota da N-able.

Fontes

• CISA — Known Exploited Vulnerabilities Catalog
• NVD — CVE-2026-72898 (NIST)
• Metabase — Security update available for Metabase
• GitHub Advisory — GHSA-vwf4-m7j8-wcjf