Metabase의 CVE-2026-72898 취약점은 인가되지 않은 원격 사용자가 비밀번호 재설정 엔드포인트에 악성 SQL을 삽입해 관리자 권한을 획득하는 경로로 공격이 이루어집니다. 0-day 상태로 실제 공격에 활용되어 CISA KEV 카탈로그에 등재될 만큼 치명적입니다.
CVE-2026-72898 취약점 개요 및 영향
CVE-2026-72898은 Metabase 인스턴스에서 발생하는 심각한 SQL 인젝션 취약점입니다. 이 취약점의 핵심은 인증되지 않은(unauthenticated) 원격 공격자가 특정 엔드포인트를 악용해 데이터베이스 쿼리를 조작한다는 점입니다.
특히 이번 취약점은 공격자가 Metabase 인스턴스의 관리자 권한을 탈취할 수 있게 한다는 점에서 매우 위험합니다. 관리자 권한이 확보되면 공격자는 해당 인스턴스가 연결한 모든 데이터베이스에 접근하며, 내부의 민감한 데이터를 열람하거나 외부로 내보내기(export) 할 수 있습니다. 기업의 핵심 데이터 자산이 외부로 완전히 유출되는 심각한 보안 사고로 이어질 수 있습니다.
공격 경로 및 기술적 분석
이 취약점의 구체적인 공격 타겟은 비밀번호 재설정 기능을 담당하는 엔드포인트입니다.
- 공격 경로: 공격자는 ‘/reset_password’ 엔드포인트로 접근하며, 이는 내부 API 경로인
/api/session/reset_password와 연결되어 있습니다. - 공격 기법: 해당 엔드포인트에 악성 SQL 구문을 삽입해 인증 메커니즘을 우회하거나 데이터베이스를 조작합니다.
- 결과: 인젝션에 성공하면 공격자는 인증 없이도 관리자 권한을 획득하게 됩니다.
이런 공격 과정은 별도의 사용자 계정이나 인증 토큰 없이도 원격에서 이루어지기 때문에, 인터넷에 노출된 자체 호스팅(Self-hosted) 인스턴스는 매우 취약한 상태에 놓이게 됩니다.
CISA KEV 등재 및 실제 악용 사례
CVE-2026-72898이 단순한 이론적 취약점을 넘어 긴급한 대응이 필요한 이유는 이미 실제 공격에 사용되었기 때문입니다. Metabase 측은 이 취약점이 0-day 상태로 Metabase Cloud 서비스에 대한 실제 공격에 이용되었음을 공식적으로 확인했습니다.
실제 악용 사례와 파급력을 근거로 미국 사이버보안 및 인프라 보안국(CISA)은 해당 취약점을 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재했습니다. CISA KEV 등재는 해당 취약점이 야생(in-the-wild)에서 활발히 이용되고 있다는 뜻입니다. 즉각적인 패치가 이루어지지 않을 경우 시스템 침해 사고가 발생할 가능성이 극도로 높다는 강력한 경고이기도 합니다.
대응 방안 및 패치 버전 안내
영향을 받는 대상 버전은 Metabase 1.58 버전 이상입니다. 시스템 관리자와 보안 담당자는 현재 운영 중인 인스턴스의 버전을 즉시 확인하고, 아래의 고정 버전으로 업데이트해야 합니다.
CISA VA-26-222-01 기준, 취약점이 해결된 고정 버전 리스트는 다음과 같습니다.
| 구분 | 고정 버전(Fixed Versions) |
|---|---|
| CISA VA-26-222-01 기준 | v58.24, v59.21, v60.17, v61.11, v62.9, v63.5 |
만약 내부 사정으로 인해 즉각적인 업그레이드가 불가능한 환경이라면, 공격 경로가 되는 /api/session/reset_password 엔드포인트에 대한 접근을 네트워크 단이나 웹 애플리케이션 방화벽(WAF) 등으로 전면 차단하는 임시 조치가 필요합니다. 패치 적용 전까지 관리자 권한 탈취 경로를 물리적으로 차단해 추가적인 피해를 막는 최소한의 방어책입니다.