Metabase, strumento open source molto diffuso per cruscotti e analisi dei dati, ha corretto una vulnerabilità con gravità 10, la massima, sfruttata come zero-day. Il primo attacco noto risale al 2 agosto, contro clienti del servizio cloud. L’avviso con le correzioni è uscito il 6 agosto, e l’11 le autorità statunitensi hanno inserito la falla tra quelle sfruttate, con tre giorni per correggerla.
La CVE-2026-72898 si trova nella pagina di reset della password, che per sua natura deve essere raggiungibile senza login. Il server accettava campi non previsti nella richiesta, e uno di questi finiva, senza filtri, dentro una query SQL. Un attaccante anonimo poteva così eseguire comandi sul database interno di Metabase e diventare amministratore.
Il danno vero comincia dopo. Metabase conserva le credenziali dei database collegati, cioè proprio i dati aziendali che i cruscotti analizzano. Chi ne diventa amministratore può leggerli ed esportarli.
Le prime vittime
Il 6 agosto Framework, produttore di portatili modulari, ha avvisato tutti i clienti: sono stati sottratti nomi, email, telefoni, indirizzi e IP di accesso, e per le aziende anche ragione sociale e partita IVA. Pagamenti e ordini non sono coinvolti. Anche altre società che usavano Metabase per le analisi interne, tra cui Tally e n8n, hanno comunicato accessi ai dati. Chi sia l’autore degli attacchi non è noto.
Nessuna di queste aziende pensava a Metabase come a un sistema critico. Ma uno strumento che può leggere tutti i database ha, di fatto, le chiavi di tutti i database.
Sono vulnerabili le installazioni in proprio dalla 0.58 alla 0.63 e le corrispondenti Enterprise 1.x. Le correzioni sono nelle versioni 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 e 0.63.5. Il servizio cloud è già protetto.
Aggiorna subito alla versione corretta del tuo ramo e chiediti se Metabase debba davvero essere raggiungibile da Internet: dietro una VPN o un proxy con autenticazione starebbe molto meglio. Poi cerca nei log una richiesta POST /api/session/reset_password con esito 400 seguita da GET /api/user/current con esito 200. Secondo Metabase è il segno di una probabile compromissione.
Se l’istanza era esposta, cambia le password dei database collegati e controlla gli utenti amministratori. E se sei cliente di una delle aziende colpite, aspettati email che conoscono il tuo nome, il tuo indirizzo e l’ultimo prodotto che hai comprato.
