Metabase Cloud visé par une faille inconnue : les installations auto-hébergées doivent être mises à jour
Metabase annonce que son service Metabase Cloud a été attaqué par une faille de sécurité jusque-là inconnue, qui permet d’injecter du SQL dans la base de l’application et d’obtenir un accès administrateur. Les clients du cloud sont déjà protégés, mais les installations auto-hébergées peuvent être vulnérables et doivent être mises à jour.
Pour les pros
Pour les professionnels
Le contexte
Metabase est un outil d’analyse de données, proposé en logiciel libre à héberger soi-même et en service cloud. Le 6 août 2026, l’éditeur indique que Metabase Cloud a été attaqué par quelqu’un qui utilisait une vulnérabilité inconnue (« 0-day ») dans les versions 0.58 et suivantes (son billet écrit « 1.58 »). L’attaquant peut injecter du SQL dans la base de l’application, ce qui peut lui donner un accès administrateur à l’instance.
Ce qui s'est passé, jour après jour
Metabase annonce que Metabase Cloud a été attaqué par une vulnérabilité inconnue ; l’éditeur dit avoir bloqué les points d’accès utilisés, puis corrigé la faille.
Selon l’éditeur, les instances Metabase Cloud sont déjà mises à jour ; les installations auto-hébergées peuvent être vulnérables.
Versions minimales sûres indiquées : 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 et 0.63.5.
Qui est concerné
À faire, dans l'ordre
Relever la version de Metabase installée (icône d’engrenage ou de grille, puis « À propos de Metabase ») et passer à la version minimale sûre de sa branche (0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 ou 0.63.5) ; selon l’éditeur, les versions inférieures à la 58 ne sont pas concernées.
Si la mise à jour ne peut pas se faire tout de suite, bloquer temporairement le point d’accès /api/session/reset_password, comme le conseille l’éditeur.
Si ce point d’accès était joignable depuis Internet, après la mise à jour : révoquer toutes les sessions actives (supprimer les lignes de la table core_session), passer en revue les clés d’API et les comptes administrateurs, puis changer les identifiants des bases connectées.
Chercher dans les journaux de l’application ou du serveur l’enchaînement signalé par l’éditeur : un appel POST /api/session/reset_password en erreur 400, suivi d’un appel GET /api/user/current réussi. S’il est présent, l’instance est probablement compromise.
Examiner les journaux des entrepôts de données et l’historique des requêtes Metabase à la recherche d’accès inhabituels.
En clair
Pour tout le monde
Metabase est un logiciel qui sert à analyser des données et à fabriquer des tableaux de bord. Son éditeur explique qu’une faille encore inconnue a été exploitée contre son service en ligne : un attaquant pouvait devenir administrateur, puis lire les données des bases reliées. Ce service est déjà corrigé. Si votre organisation héberge elle-même Metabase, demandez à la personne qui s’en occupe de le mettre à jour sans attendre, puis de changer les mots de passe des bases connectées.
Ce que ça change dans le Pacifique
Nouvelle-Calédonie, Polynésie française, Wallis-et-Futuna
Aucun lien avec le Pacifique n’est établi à ce jour. Metabase peut être utilisé en service cloud ou hébergé par l’organisation elle-même : toute administration, entreprise ou prestataire des territoires qui s’en sert doit vérifier sa version, car l’éditeur indique que les installations auto-hébergées peuvent être vulnérables. En cas de doute sur un prestataire, lui poser directement la question.
Réseau de sources
Qui a relevé l’alerte, et quelles autorités la documentent.
- Metabase
Sources (1)
- MetabaseAutoritéMetabase, « Security update available for Metabase - Please upgrade now » (site externe, nouvel onglet)metabase.com