一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月14日、MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）について発表した。影響を受けるシステムは以下の通り。
Metabase 63系：x.63.5より前のバージョン
Metabase 62系：x.62.9より前のバージョン
Metabase 61系：x.61.11より前のバージョン
Metabase 60系：x.60.17より前のバージョン
Metabase 59系：x.59.21より前のバージョン
Metabase 58系：x.58.24より前のバージョン
Metabaseは日本時間8月6日に、同社製品であるMetabaseにSQLインジェクションの脆弱性（CVE-2026-72898）が存在することを公表している。
本脆弱性が悪用された場合、遠隔の第三者が認証なしで細工したリクエストを送信することで、Metabaseのアプリケーションデータベースに対して不正なSQLクエリを実行し、Metabaseの管理者権限を取得する可能性がある。
Metabaseでは、本脆弱性を悪用したゼロデイ攻撃を確認しており、海外では複数の組織が本脆弱性を悪用した被害を公表している。また、本脆弱性を悪用する概念実証（PoC）コードとみられる情報も確認されており、今後も脆弱性を悪用する攻撃が広がる可能性がある。
JPCERT/CCでは、Metabaseが提供する最新の情報を確認し、本脆弱性の修正を含む最新のバージョンを適用するよう呼びかけている。
