Metabase-Zero-Day (CVE-2026-72898): SQL-Injection mit CVSS 10.0 wird aktiv ausgenutzt

Eine Schwachstelle mit maximalem Schweregrad im Open-Source-BI-Tool Metabase, geführt als CVE-2026-72898, erlaubt es einem nicht authentifizierten Angreifer, über den Passwort-Reset-Endpunkt SQL einzuschleusen und die Instanz als Administrator zu übernehmen. Sie trägt einen CVSS-Score von 10.0, wurde als Zero-Day ausgenutzt, bevor ein Patch existierte, und die CISA hat sie bereits in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Wenn Sie Metabase betreiben, ist die einzig sichere Annahme, dass ins Internet gerichtete Instanzen in dem Moment abgetastet wurden, in dem der Exploit öffentlich wurde: Aktualisieren Sie noch heute auf eine gepatchte Version oder blockieren Sie den Endpunkt.

Das ist kein theoretischer Fehler. Metabase bestätigte, dass die Schwachstelle in echten Angriffen genutzt wurde, und mindestens drei Unternehmen — der Hardwarehersteller Framework, der Formularbaukasten Tally und die Workflow-Automatisierungsplattform n8n — haben damit verbundenen Diebstahl von Kundendaten offengelegt. Hier lesen Sie, was die Schwachstelle bewirkt, wen sie getroffen hat und die genauen Schritte, um sie zu schließen.

Was ist CVE-2026-72898?

CVE-2026-72898 ist eine nicht authentifizierte SQL-Injection in Metabase, die zur vollständigen Übernahme als Administrator führt. Die Schwachstelle steckt im Endpunkt /api/session/reset_password, der ohne Anmeldung erreichbar ist. Laut dem Sicherheitshinweis von Metabase „konnte der Angreifer beliebiges SQL gegen die Metabase-Anwendungsdatenbank einschleusen, was ihm Administratorzugriff auf die Instanz verschaffen kann“. Da der Endpunkt keine Anmeldedaten benötigt, braucht ein Angreifer lediglich Netzwerkzugriff auf eine verwundbare Instanz — kein gestohlenes Passwort, keine Nutzerinteraktion.

Einmal als Administrator drinnen, beschränkt sich der Schaden nicht auf Metabase selbst. Metabase ist eine Business-Intelligence-Schicht, die gespeicherte Verbindungen zu Ihren Produktionsdatenbanken und Data Warehouses vorhält. Ein Angreifer mit Administratorrechten kann Anwendungseinstellungen ändern, gespeicherte Verbindungsanmeldedaten auslesen, alles abfragen, was diese Verbindungen erreichen, und die Ergebnisse exportieren. Deshalb haben Forscher bei Horizon3.ai und anderswo den Wirkungsradius als weit größer eingestuft, als es ein einzelnes Dashboard-Tool nahelegt — es ist ein direkter Sprung in sämtliche Daten, für deren Einsicht Metabase konfiguriert war. Der NVD-Eintrag zu CVE-2026-72898 bewertet sie mit 10.0, dem Höchstwert der Skala.

Welche Metabase-Versionen sind betroffen?

Alles ab dem 1.58-Zweig aufwärts war bis zu den August-Patches verwundbar. Versionen unter 58 sind nicht betroffen. Metabase veröffentlichte am August 6, 2026 gepatchte Builds, einen pro unterstütztem Zweig — aktualisieren Sie auf die passende Version oder eine spätere.

Zweig	Verwundbar	Gepatchte Version (OSS / Enterprise)
63	0.63.0 – 0.63.4	0.63.5 / 1.63.5
62	0.62.0 – 0.62.8	0.62.9 / 1.62.9
61	0.61.0 – 0.61.10	0.61.11 / 1.61.11
60	0.60.0 – 0.60.16	0.60.17 / 1.60.17
59	0.59.0 – 0.59.20	0.59.21 / 1.59.21
58	0.58.0 – 0.58.23	0.58.24 / 1.58.24
< 58	Nicht verwundbar	—

Die Open-Source-Builds (0.x) und die Enterprise-Builds (1.x) teilen sich die Versionsnummern, sodass 0.63.5 und 1.63.5 derselbe Fix in unterschiedlichen Editionen sind. Falls Sie nicht sofort aktualisieren können, besteht die dokumentierte Übergangslösung von Metabase darin, den Endpunkt /api/session/reset_password zu blockieren — an Ihrem Reverse Proxy oder Ihrer Firewall, bis Sie patchen können.

Wen es bisher getroffen hat

Die Angriffe erfolgten in den ersten Augusttagen 2026, bevor die meisten Betreiber überhaupt von einer Schwachstelle wussten — das Kennzeichen eines echten Zero-Day. Mehrere Unternehmen sind seither an die Öffentlichkeit gegangen:

• Framework teilte Kunden mit, dass Angreifer personenbezogene Daten gestohlen haben, darunter vollständige Namen, E-Mail-Adressen, Login-IP-Adressen sowie Rechnungs- und Lieferadressen; bei Geschäftskunden waren zudem VAT-, EIN- und Rechnungs-E-Mail-Felder betroffen. Framework erklärte, am August 6 von Metabase benachrichtigt worden zu sein, wobei der Einbruch auf den August 3 datiert wird, laut der Berichterstattung von BleepingComputer.
• Tally, der Formularbaukasten, legte offen, dass Angreifer an E-Mail-Adressen von Nutzern und Passwort-Hashes (gespeichert als kryptografische Einweg-Hashes) gelangten, während auf Formularinhalte und Einreichungen nicht zugegriffen wurde.
• n8n, die Workflow-Automatisierungsplattform, erklärte, dass ein Angreifer 136 Kundendatensätze erlangt habe, laut Berichterstattung von The Hacker News.

Der rote Faden: Keiner dieser Fälle war ein Fehler von Metabase im Sinne einer Fehlkonfiguration des Produkts — die Betroffenen setzten eine unterstützte Version ein, die zufällig ausnutzbar war, und der Passwort-Reset-Endpunkt war erreichbar.

So erkennen Sie, ob Ihre Instanz kompromittiert wurde

Ein Patch stoppt künftige Ausnutzung; er macht einen bereits erfolgten Einbruch nicht rückgängig. Prüfen Sie zuerst Ihre Logs auf das Ausnutzungsmuster. Der öffentlich bekannte Indikator ist eine POST-Anfrage an /api/session/reset_password, die HTTP 400 zurückgibt, kurz gefolgt von einem GET an /api/user/current, das 200 zurückgibt — die Abfolge einer scheinbar fehlgeschlagenen Injection, die dennoch eine Administrator-Sitzung erzeugt hat. Runzero, Horizon3 und andere Tracker haben passende Erkennungshinweise zum Auffinden betroffener Assets veröffentlicht.

Wenn Sie dieses Muster finden oder es schlicht nicht ausschließen können, besteht Metabases Behebung nach dem Upgrade darin, jede aktive Sitzung durch Leeren der Tabelle core_session zu widerrufen, alle API-Schlüssel zu löschen, die Sie nicht kennen, Administratorkonten auf unerwartete Änderungen zu prüfen, die Anmeldedaten jeder verbundenen Datenbank zu rotieren und Ihre Data-Warehouse- und Metabase-Abfrageprotokolle auf unbefugten Zugriff zu durchsuchen. Das Rotieren der nachgelagerten Datenbank-Anmeldedaten ist der Schritt, den man überspringt, und zugleich der wichtigste, denn genau diese gespeicherten Verbindungsgeheimnisse hat ein Angreifer mit Administratorrechten im Visier.

Warum ein BI-Tool der perfekte Sprungpunkt ist

Die meiste Berichterstattung rahmt CVE-2026-72898 als „noch eine kritische CVE, patcht sie“. Die nützlichere Lektion betrifft, wo das Tool sitzt. Analytics- und BI-Plattformen erhalten breiten, dauerhaften Lesezugriff auf die sensibelsten Daten, die eine Organisation hat — Kundentabellen, Umsätze, personenbezogene Daten — und werden häufig selbst gehostet, für Remote-Teams ins Internet gestellt und dann zum Patch-Zeitpunkt vergessen. Diese Kombination macht sie zu einem wertvolleren Ziel, als es der Dashboard-Rahmen vermuten lässt: Kompromittieren Sie die BI-Schicht, erben Sie deren Blick auf alles dahinter.

Die defensiven Lehren gelten über Metabase hinaus. Halten Sie interne Tools nach Möglichkeit aus dem öffentlichen Internet heraus, indem Sie sie hinter ein VPN oder einen Zero-Trust-Proxy statt an einen offenen Port stellen (dieselbe Logik in unserer Gegenüberstellung von Zero Trust und VPN). Behandeln Sie jede selbst gehostete Anwendung mit Datenbankzugriff als Teil Ihrer Angriffsfläche und patchen Sie sie mit derselben Dringlichkeit wie Ihren Edge-Bereich — die Pre-Auth-RCE in Kemp LoadMaster machte Anfang dieses Jahres denselben Punkt. Und härten Sie den Host selbst ab, damit die Kompromittierung einer einzelnen Anwendung nicht zur vollständigen Serverübernahme wird, wie in unserem Leitfaden zur sicheren ersten Stunde eines VPS beschrieben.

Häufig gestellte Fragen

Was ist CVE-2026-72898?

Es ist eine nicht authentifizierte SQL-Injection mit CVSS 10.0 im Endpunkt /api/session/reset_password von Metabase. Ein Angreifer mit Netzwerkzugriff kann SQL einschleusen und ohne jegliche Anmeldedaten Administratorzugriff auf die Instanz erlangen, dann gespeicherte Datenbank-Verbindungsgeheimnisse auslesen und verbundene Daten exfiltrieren.

Welche Metabase-Versionen müssen gepatcht werden?

Jede Version von 1.58/0.58 bis zu den August-Fixes. Aktualisieren Sie für Ihren Zweig auf 0.58.24, 0.59.21, 0.60.17, 0.61.11, 0.62.9 oder 0.63.5 (oder den passenden Enterprise-Build 1.x). Versionen unter 58 sind nicht verwundbar.

Wird CVE-2026-72898 aktiv ausgenutzt?

Ja. Metabase bestätigte die Ausnutzung als Zero-Day, die CISA nahm sie am August 11, 2026 mit einer föderalen Behebungsfrist zum August 14 in den Katalog bekannter ausgenutzter Schwachstellen auf, und mehrere Unternehmen haben Datendiebstahl offengelegt.

Ich kann gerade nicht aktualisieren. Was kann ich tun?

Blockieren Sie den Endpunkt /api/session/reset_password an Ihrem Reverse Proxy oder Ihrer Firewall als vorübergehende Gegenmaßnahme und patchen Sie dann so schnell wie möglich. Das ist die von Metabase selbst empfohlene Übergangslösung.

Woran erkenne ich, ob mein Metabase kompromittiert wurde?

Achten Sie auf ein POST an /api/session/reset_password, das HTTP 400 zurückgibt, gefolgt von einem GET an /api/user/current, das 200 zurückgibt. Wenn Sie das sehen, widerrufen Sie Sitzungen, rotieren Sie alle Anmeldedaten verbundener Datenbanken, löschen Sie unbekannte API-Schlüssel und prüfen Sie Administratorkonten.

Quellen

• Metabase — Sicherheitsupdate (offizieller Hinweis): betroffene und gepatchte Versionen, Endpunkt-Mitigation und Behebungsschritte nach dem Upgrade.
• NVD — CVE-2026-72898: der CVSS-10.0-Eintrag und die technische Beschreibung.
• The Hacker News — Metabase-Zero-Day in freier Wildbahn ausgenutzt: Ausnutzungs-Zeitlinie, Kompromittierungsindikatoren und n8ns Offenlegung von 136 Datensätzen.
• BleepingComputer — Framework und Tally legen Metabase-Datendiebstahl offen: welche Daten den genannten Opfern gestohlen wurden und Offenlegungsdaten.
• Horizon3.ai — Angriffsforschung zu CVE-2026-72898: Analyse der SQL-Injection und ihrer Auswirkungen.
• Runzero — Betroffene Metabase-Assets finden: Hinweise zu Erkennung und Asset-Inventar.