Metabase zero-day CVE-2026-72898: attacco attivo con CVSS 10, blast radius

Una vulnerabilità zero-day con punteggio CVSS 10.0 su 10, la massima severità possibile, ha colpito Metabase il 2 agosto 2026. L'attacco, confermato contro l'infrastruttura cloud del vendor e già sfruttato in attività malevole, sfrutta un'endpoint pre-autenticazione per eseguire SQL arbitrario nel database applicativo, aprendo un percorso diretto verso privilegi amministrativi e, da lì, verso l'intero data layer aziendale collegato. CISA ha inserito la falla nel catalogo KEV con scadenza di patching fissata al 14 agosto per le agenzie federali.

Il meccanismo: SQL injection pre-auth con escalation immediata

La vulnerabilità risiede nell'endpoint /api/session/reset_password, raggiungibile senza autenticazione. Secondo il record ufficiale CVE-2026-72898, un attaccante remoto può iniettare SQL arbitrario nel database applicativo Metabase attraverso questo percorso e ottenere accesso amministrativo all'istanza compromessa. Il GitHub Security Advisory GHSA-vwf4-m7j8-wcjf conferma la stessa catena: iniezione, esecuzione arbitraria di query, controllo completo dell'istanza.

La CWE classificativa è la 89, "Improper Neutralization of Special Elements used in an SQL Command". La fonte primaria Metabase descrive il pattern di attacco con precisione operativa: una richiesta POST all'endpoint vulnerabile con risposta HTTP 400, seguita da una GET su /api/user/current con risposta 200, indica compromissione avvenuta. Questo IoC è stato ripetuto nelle comunicazioni ufficiali del CEO Sameer Al-Sakran.

Un dato strutturale emerge dall'analisi di Johannes Ullrich del SANS Internet Storm Center, citato da Dark Reading: Metabase "apparently does not use prepared statements, which would fix this issue". La scelta architetturale, motivata dalla necessità di supportare multipli database engine, lascia il codice esposto a iniezioni che prepared statements avrebbero bloccato. Il vettore di attacco non richiede interazione utente, non necessita di privilegi pregressi e opera su rete: il CVSS vector string AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H riflette questa combinazione letale.

"If you find that pattern in your application logs or in your Metabase server ingress logs, it is likely that your instance has been compromised" — Sameer Al-Sakran, CEO Metabase

Le vittime confermate e il blast radius reale

L'incidente non è rimasto teorico. Tre organizzazioni hanno pubblicato disclosure tecniche con dettagli misurabili. Framework, produttore di PC modulare, ha notificato clienti che nomi, indirizzi IP di login, indirizzi fisici, numeri di telefono e indirizzi email sono stati accessibili; esplicitamente esclusi dati di pagamento. n8n, piattaforma di workflow automation, ha confermato 136 record clienti con nomi e email, più 5 record con password hashate in bcrypt e 25 account con password in plaintext storiche — queste ultime risalenti a un bug pregresso di aprile 2023, non direttamente collegato all'attacco Metabase ma reso visibile dalla compromissione. Kilo Code ha segnalato accesso a record clienti e, per un sottoinsieme di utenti, esposizione di token Slackbot.

Il blast radius supera il perimetro del singolo prodotto BI. Metabase si connette per definizione a data warehouse, database transazionali e lake aziendali. Il controllo amministrativo dell'istanza permette di accedere alla configurazione delle connessioni database, eseguire query arbitrarie sui sistemi collegati e, potenzialmente, esfiltrare volumi di dati significativamente maggiori rispetto a quelli contenuti nel database applicativo locale. Questa caratteristica trasforma ogni istanza compromessa in pivot point verso l'infrastruttura dati sottostante.

Wiz, con visibility su cloud pubblici, ha fornito la stima operativa: circa il 13% degli ambienti cloud monitorati ospita istanze Metabase self-hosted, e circa il 25% di queste è pienamente accessibile da internet. La proiezione converge su circa 2.500 istanze esposte. Questo numero non indica compromissione, ma definisce la superficie di attacco potenziale per exploitation continuata oltre l'incidente cloud del 2 agosto.

Il contesto storico: CVE-2023-38646 e il pattern Metabase

La comunità security ha registrato un precedente diretto. Nel 2023 Metabase affrontò CVE-2023-38646, vulnerabilità RCE pre-autenticazione con exploitation attiva e inclusione nel KEV catalog. La ricorrenza di flaw critici sull'asse pre-autenticazione tre anni distanti solleva interrogativi documentabili sulla maturità del security development lifecycle del prodotto. Entrambe le vulnerabilità permettevano accesso non autorizzato da internet senza prerequisiti; entrambe raggiunsero exploitation in the wild prima del patching diffuso; entrambe colpirono il medesimo vendor specializzato in analytics, non in infrastruttura di sicurezza.

La differenza nel 2026 è l'ecosistema cloud-first. Le istanze self-hosted rimangono sotto responsabilità del cliente, ma la compromissione di Metabase Cloud ha dimostrato che anche il modello SaaS gestito dal vendor non immunizza completamente dal rischio zero-day. I clienti downstream — Framework, n8n, Kilo Code — non erano necessariamente utenti Metabase diretti, ma hanno subito esposizione PII attraverso la relazione commerciale con il fornitore di analytics.

Cosa fare adesso

Le azioni prioritarie derivano direttamente dalle fonti ufficiali e dalle advisory convergenti:

• Verificare la presenza dell'IoC nei log: cercare la sequenza POST /api/session/reset_password con status 400 seguita da GET /api/user/current con status 200 nei log applicativi e di rete dell'istanza
• Applicare le patch per il branch in uso: Metabase ha rilasciato versioni corrette per sei branch: 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9, 0.63.5 — l'aggiornamento è obbligatorio per tutte le istanze sui branch 58-63
• Ruotare credenziali e token esposti: in caso di compromissione confermata o sospetta, ruotare password amministrative e secret di connessione ai database collegati, oltre a verificare token di servizio come quelli Slackbot segnalati nel disclosure Kilo Code
• Ridurre esposizione di rete: per istanze self-hosted non necessarie pubblicamente, limitare l'accesso a IP autorizzati o VPN aziendale, dato che il vettore richiede raggiungibilità di rete dell'endpoint vulnerabile

La scadenza CISA e l'urgenza federale

CISA ha aggiunto CVE-2026-72898 al Known Exploited Vulnerabilities catalog l'11 agosto 2026. Il Binding Operational Directive 26-04 impone alle agenzie federali statunitensi di applicare le correzioni entro il 14 agosto 2026. Questa timeline, estremamente compressa, riflette la combinazione di exploitation documentata, severità massima e impatto potenziale su sistemi che spesso integrano dati sensibili governativi.

Per il settore privato la scadenza federale funge da segnale di escalation. La convergenza di advisory primaria (GitHub Security Advisory), record CVE ufficiale, catalogo governativo e conferme di vittime reali elimina l'incertezza sulla criticità. L'elemento che distingue questo evento da advisory teoriche è la traccia forense misurabile: timestamp dell'attacco, log pattern riconoscibile, disclosure con conteggi precisi di record esposti.

Il interrogativo aperto, documentato nelle fonti come non risolto, riguarda l'identità dell'attore e il movente. Non emergono sovrapposizioni infrastrutturali con gruppi noti nelle fonti consultate. La durata concentrata dell'attacco cloud — circa quattro ore — potrebbe indicare obiettivo mirato e raccolta rapida, ma questa è lettura redazionale non confermata dalle fonti primarie.

Il caso Metabase 2026 conferma che strumenti di analytics, per la loro posizione architetturale tra interfaccia utente e data warehouse, costituiscono target di elevato valore per l'attaccante e punto di massimo rischio per il difensore. La massima severità CVSS non è iperbole: è calcolo matematico di un vettore che richiede zero prerequisiti e offre controllo completo con pivoting immediato.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://www.darkreading.com/vulnerabilities-threats/metabase-sql-zero-day-attacks-wide-blast-radius
• https://thehackernews.com/2026/08/metabase-zero-day-exploited-in-wild.html
• https://www.securityweek.com/metabase-patches-vulnerability-exploited-as-zero-day/
• https://securityaffairs.com/196874/hacking/metabase-zero-day-exploited-in-the-wild-exposing-admin-access-and-sensitive-data.html
• https://www.cve.org/CVERecord?id=CVE-2026-72898
• https://www.cisa.gov/news-events/alerts/2026/08/11/cisa-adds-three-known-exploited-vulnerabilities-catalog
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://github.com/metabase/metabase/security/advisories/GHSA-vwf4-m7j8-wcjf
• https://github.com/n8n-io/n8n/pull/5842