# Aktywnie wykorzystywana podatność w Metabase pozwala przejąć konto administratora

Singapurska agencja CSA ostrzega przed aktywnie wykorzystywaną podatnością CVE-2026-72898 w Metabase (CVSS 10.0). Nieuwierzytelniony atakujący może wstrzyknąć dowolny SQL i uzyskać dostęp administratora. Publicznie dostępny jest działający exploit.

- Adres: <https://pelnomocnikcyber.pl/aktualnosci/metabase-krytyczna-podatnosc-wykorzystywana/>
- Rodzaj: Streszczenie
- Data publikacji: 04.11.2026
- Kategoria: [Incydenty](https://pelnomocnikcyber.pl/kategorie/incydenty/)
- Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Źródło: [CSA Singapore alerts and advisories](https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-158) (3 listopada 2026)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

Singapurska agencja CSA opublikowała ostrzeżenie o krytycznej podatności CVE-2026-72898 w Metabase. Podatność ma w skali CVSS v3.1 ocenę 10.0 na 10. Według CSA niezalogowany atakujący zdalnie może wstrzyknąć dowolny SQL do bazy aplikacji Metabase i uzyskać dostęp administratora do podłączonej instancji. Podatność jest już aktywnie wykorzystywana, a publicznie dostępny jest exploit typu proof-of-concept.

Podatne są wydania z siedmiu linii numeracji 0.x i 1.x, od 0.58.0 i 1.58.0 do 0.63.x i 1.63.x. Poprawki znajdują się w wersjach **0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 i 0.63.5** oraz w odpowiadających im wersjach 1.x (1.58.24, 1.59.21, 1.60.17, 1.61.11, 1.62.9 i 1.63.5). Jeśli w Twojej organizacji działa Metabase, sprawdź numer wersji i zaktualizuj ją od razu.

CSA zaleca dodatkowe kroki osobom, które samodzielnie hostują publicznie dostępne instancje Metabase, bo atak był już obserwowany. Należy zastosować wskazówki Metabase na okres po aktualizacji: unieważnić aktywne sesje użytkowników, przejrzeć konta administratorów i klucze API, zmienić poświadczenia do podłączonych baz danych oraz sprawdzić logi pod kątem nieautoryzowanego dostępu lub aktywności.

Jeśli natychmiastowa aktualizacja nie jest możliwa, CSA wskazuje tymczasowe obejście: zablokowanie dostępu do endpointu `/api/session/reset_password`.

## Pojęcia w tym tekście

- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
- [Exploit](https://pelnomocnikcyber.pl/slownik/exploit/): Program, dane lub polecenia, które wykorzystują podatność w oprogramowaniu, żeby obejść zabezpieczenia systemu. Często jest pierwszym etapem szerszego ataku.

## Jak powstała ta wiadomość

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 3 listopada 2026; tekst sprawdził i zatwierdził autor przed publikacją.