今日は3本を取り上げます。データ分析ツール「Metabase」に、認証不要で管理者権限を奪える最も深刻なレベル（CVSS 10.0）のSQLインジェクション脆弱性が見つかり、既に攻撃に悪用されています。社内でMetabaseを使っている場合は即時の更新が必要です。国内では講談社が社員のフィッシング被害で最大3,812件の個人情報を流出させた事案を公表しました。Chromeにも高リスクの脆弱性修正が出ています。各ニュースの推奨対応を確認してください。
NEWS 01
JPCERT/CC ｜ 2026年8月14日 注意喚起
データ分析ツール「Metabase」に緊急のSQLインジェクション脆弱性 CVE-2026-72898、認証不要で管理者権限を奪取・悪用も確認
JPCERT/CCは2026年8月14日、オープンソースのBI（ビジネスインテリジェンス／データ可視化）ツール「Metabase」のSQLインジェクションの脆弱性 CVE-2026-72898 に関する注意喚起を公開しました。深刻度を示すCVSS基本値は最大の10.0とされ、既に実際の攻撃で悪用されていることが確認されています。米国CISAも、悪用が確認された脆弱性のカタログ（KEV）に登録済みです。
この脆弱性は、パスワードリセット機能の処理に不備があり、認証を経ていない外部の攻撃者がインターネット経由で任意のSQL文をデータベースに送り込めるものです。悪用されると、Metabaseの管理者権限を奪われ、設定の変更、接続先データベースの認証情報の窃取、そこから参照できる社内データの読み取り・持ち出しにつながります。影響を受けるのはMetabase 0.58／1.58系から一部バージョンまでで、開発元は修正版を公開しています。
▌中小企業への影響
Metabaseは売上や顧客データの可視化に使われるため、乗っ取られると業務データの中枢に直接手が届きます。認証不要で悪用でき、既に攻撃が発生している点が特に危険です。社内サーバーやクラウド上でMetabaseを立てて、社外からアクセスできる状態にしている場合は、標的になっている前提で急いで対応する必要があります。
▌推奨対応（即時）
- Metabaseを使っているか棚卸しする。自社構築（セルフホスト）版・クラウド版のいずれも対象になり得る
- 開発元が公開した修正版へ直ちにアップデートする。バージョンは管理画面や設定から確認する
- すぐ更新できない場合は、Metabaseをインターネットに直接公開せず、社内ネットワークやVPN経由のみに制限する
- 更新後は、身に覚えのない管理者アカウントの追加や設定変更、不審なアクセス履歴がないか確認する
- Metabaseに登録した接続先データベースのパスワードを変更する（窃取された前提で対処する）
NEWS 02
講談社（各報道）｜ 2026年8月3日発表
講談社、社員がフィッシングメールに被弾しメールアカウントに不正アクセス 最大3,812件の連絡先情報が流出
講談社は2026年8月3日、社員の業務用メールアカウントが不正アクセスを受け、最大3,812件の個人情報（メールアドレスと一部の氏名）が流出した可能性があると発表しました。経緯は、2026年7月27日に社員が取引先を装ったフィッシングメールのリンクをクリックし、表示された偽のログイン画面に認証情報を入力したことが発端です。
その後7月30日、攻撃者が窃取した認証情報でメールアカウントに不正ログインし、保存されていた連絡先情報を盗み取ったうえで、当該社員になりすましたフィッシングメールを送信しました。報道によると、そのうち553件のメールアドレス宛に、なりすましメールが送られる二次被害も確認されています。大企業でも、入口は「1通のフィッシングメールを1人が開いた」ことでした。
▌中小企業への影響
特別な脆弱性を突かれたのではなく、社員がIDとパスワードを偽サイトに入力してしまった典型的な手口です。中小企業でも全く同じ経路で被害が起こり得ます。1つのアカウントが乗っ取られると、そこに残る取引先の連絡先が盗まれ、自社を装ったなりすましメールが取引先に送られて被害が連鎖します。信用の低下と取引先対応の負担が重くのしかかります。
▌推奨対応
- メール・グループウェアのログインに多要素認証（MFA）を設定する。パスワードを盗まれても乗っ取りを防げる
- 「取引先を装ったメールのリンクから偽ログイン画面へ誘導」する手口を全社員に周知する。リンク先のドメインを確認する習慣をつける
- ログイン情報を入力する前に、正規のブックマークや公式アプリから開き直す運用を徹底する
- 不審メールを開いた・情報を入力してしまった際に、すぐ相談・パスワード変更できる社内連絡ルートを決めておく
- 管理者は、普段と異なる場所・時間帯からのログイン記録がないか主要サービスの履歴を定期確認する
NEWS 03
Google / Security NEXT ほか ｜ 2026年8月11日
Google Chromeに更新、解放済みメモリ使用（Use-After-Free）の高リスク脆弱性5件を修正
Googleは2026年8月11日、Webブラウザ「Chrome」の安定版を更新し、深刻度「高」の脆弱性5件を修正しました。対象バージョンはWindows・macOS向けが151.0.7922.138／137、Linux向けが151.0.7922.137です。修正された脆弱性はいずれも「解放済みメモリ使用（Use-After-Free）」に分類され、V8スクリプトエンジン、タブ表示、拡張機能、HTML、Blinkといったブラウザの中核部分が対象です。
この種の脆弱性は、不正に細工されたWebページを開くだけで悪用され得るため、業務でWebサイトを閲覧するすべての端末に関係します。深刻な脆弱性の修正が短期間に繰り返し出ており、ブラウザの更新を後回しにしないことが重要です。
▌中小企業への影響
Chromeはほとんどの企業で日常的に使われています。更新を放置した端末で悪意のあるサイトを開くと、端末が攻撃者に操作される起点になり得ます。自動更新が有効でも、ブラウザを長期間再起動していないと更新が適用されないため、盲点になりやすい部分です。
▌推奨対応（今週中に実施）
- Chromeの「設定」→「Chromeについて」を開き、最新版であることを確認する（開くと更新チェックが走る）
- 更新後は「再起動」を押して適用を完了させる。開きっぱなしのブラウザは更新が反映されていないことがある
- 社内の全端末（共用PC・予備機を含む）で更新状況を点検する
- Edgeなど同系統（Chromium）のブラウザを併用している場合は、そちらの更新も併せて確認する
編集部まとめ
今日の3本のうち最優先はMetabaseの脆弱性です。認証不要で悪用でき、既に攻撃が確認されているため、使っている組織は即時のアップデートかインターネット公開の停止を行ってください。講談社の事案は、フィッシング1通が発端で情報流出と取引先へのなりすまし被害まで広がった典型例です。MFAの設定と、リンク先ドメインを確認する習慣という基本の2点を、中小企業こそ今週徹底してください。
Chromeの更新も忘れずに。なお、先週公開されたMicrosoftの8月定例パッチ（悪用確認済みのゼロデイCVE-2026-68820を含む）が未適用の端末があれば、併せて適用を確認してください。
参考情報
- JPCERT/CC 注意喚起 at260023「MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起」2026年8月14日
- 各報道（日本経済新聞・ITmedia NEWS・INTERNET Watch ほか）「講談社、フィッシング被害でメールアカウント不正アクセス・最大3,812件流出」2026年8月3日
- Security NEXT「『Chrome』にアップデート - 脆弱性5件を修正」2026年8月11日
- （継続）JPCERT/CC 注意喚起 at260022「2026年8月マイクロソフトセキュリティ更新プログラムに関する注意喚起」
secure