A CISA adicionou a CVE-2026-72898 no Metabase ao catálogo Known Exploited Vulnerabilities (KEV) em 11 de agosto de 2026, fixando um prazo de remediação de apenas três dias, com vencimento em 14 de agosto. Trata-se de uma vulnerabilidade de injeção SQL não autenticada, avaliada com a pontuação máxima de CVSS 10.0, já confirmada como ativamente explorada. A própria equipe do Metabase reconheceu que sua infraestrutura cloud foi atacada por um ator que utilizou essa falha como zero-day antes da correção.
Instâncias self-hosted do Metabase a partir da versão 0.58.0 estão vulneráveis e exigem atualização imediata para a última point release da trilha correspondente. Quem não conseguir aplicar o patch deve bloquear o endpoint /api/session/reset_password como mitigação temporária.
Impacto técnico da falha
A CVE-2026-72898 é uma vulnerabilidade de injeção SQL classificada como CWE-89. Um atacante remoto não autenticado pode injetar SQL arbitrário pelo endpoint /api/session/reset_password e obter acesso de administrador à instância afetada. Com privilégios administrativos, o invasor consegue alterar a configuração da aplicação, roubar credenciais armazenadas dos bancos de dados conectados, ler qualquer dado acessível por essas conexões e exportar informações sensíveis.
O alcance do impacto se estende além da própria instância do Metabase. Como a ferramenta se conecta a múltiplos bancos de dados analíticos e operacionais, o comprometimento de credenciais armazenadas abre caminho para movimento lateral e exfiltração de dados de sistemas downstream. Em ambientes onde o Metabase acessa data warehouses com dados de clientes, o escopo de um incidente pode atingir milhares de registros.
O vetor CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H reflete ataque remoto pela rede, baixa complexidade, ausência de privilégios e ausência de interação do usuário, com impacto total sobre confidencialidade, integridade e disponibilidade. No framework SSVC, a CISA atribuiu exploração ativa, automação possível e impacto técnico total.
O padrão de ataque documentado pelo fabricante consiste em uma requisição POST /api/session/reset_password com resposta HTTP 400, seguida de GET /api/user/current com resposta 200. A presença desse padrão nos logs de ingress ou da aplicação indica comprometimento.
Versões afetadas e correções
O Metabase publicou point releases corrigidas para cada versão afetada. A tabela abaixo resume as versões mínimas seguras por trilha:
| Trilha | Versões vulneráveis | Versão segura |
|---|---|---|
| 0.63.x / 1.63.x | 0.63.0 a 0.63.4 | 0.63.5 |
| 0.62.x / 1.62.x | 0.62.0 a 0.62.8 | 0.62.9 |
| 0.61.x / 1.61.x | 0.61.0 a 0.61.10 | 0.61.11 |
| 0.60.x / 1.60.x | 0.60.0 a 0.60.16 | 0.60.17 |
| 0.59.x / 1.59.x | 0.59.0 a 0.59.20 | 0.59.21 |
| 0.58.x / 1.58.x | 0.58.0 a 0.58.23 | 0.58.24 |
Instâncias em versões inferiores a 0.58.0 não são afetadas. O fabricante fornece imagens Docker (metabase/metabase:vX.Y.Z) e arquivos JAR para download direto em cada release corrigida.
Outras falhas no lote KEV
O lote de adições ao KEV em 11 de agosto de 2026 trouxe outras duas vulnerabilidades com exploração ativa confirmada. A CVE-2026-68820, falha de use-after-free no driver Ancillary Function Driver (AFD) para WinSock do Windows, permite escalonamento de privilégios local por um atacante já autenticado. Avaliada em CVSS 7.0, recebeu prazo de remediação mais longo: 25 de agosto.
A CVE-2026-20349, por sua vez, afeta os firewalls Cisco ASA e FTD. Trata-se de uma vulnerabilidade de heap inspection que permite a um atacante remoto não autenticado causar negação de serviço via SSL VPN, forçando o reinício inesperado do equipamento. O prazo de remediação coincide com o do Metabase: 14 de agosto. A Cisco publicou hotfixes para todas as versões suportadas de ASA e FTD.
Passos de resposta e triagem
Equipes que mantêm instâncias self-hosted do Metabase expostas devem executar a seguinte sequência de resposta:
- Atualizar para a point release corrigida da trilha em uso. Se não for possível de imediato, bloquear o endpoint
/api/session/reset_passwordno reverse proxy ou WAF. - Inspecionar logs pelo padrão de ataque:
POST /api/session/reset_passwordcom status 400 seguido deGET /api/user/currentcom status 200. - Revogar sessões removendo todas as linhas da tabela
core_sessionno banco de dados da aplicação. - Rotacionar credenciais dos bancos de dados conectados e auditar chaves de API quanto a entradas não reconhecidas.
- Revisar contas administrativas e o histórico de queries em busca de atividade anômala.
Os padrões de resposta acelerada exigidos pelo KEV refletem a gravidade das falhas. A análise técnica da CVE-2026-8037 no LoadMaster e a cobertura da RCE crítica no TeamCity ilustram a recorrência de vulnerabilidades não autenticadas que entram no KEV com janelas de correção de apenas três dias.
Fontes
- CISA — Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- NVD — CVE-2026-72898: https://nvd.nist.gov/vuln/detail/CVE-2026-72898
- NVD — CVE-2026-68820: https://nvd.nist.gov/vuln/detail/CVE-2026-68820
- Metabase — Security Update: https://www.metabase.com/blog/security-update
- Cisco — ASA/FTD VPN DoS Advisory: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-vpn-dos-dzv4mQFF