- Plusieurs vulnérabilités ont été découvertes dans l’outil d’analyse de données Metabase.
- Elles pourraient permettre à un attaquant d’accéder à des données confidentielles ou d’injecter des commandes SQL malveillantes.
- Une mise à jour est à appliquer dès que possible si vous utilisez Metabase dans votre structure.
Qu’est-ce que Metabase ?
Metabase est un outil qui permet de visualiser et d’explorer les données de votre entreprise à partir de vos bases de données. Il est utilisé par de nombreuses PME pour créer des tableaux de bord et des rapports, sans nécessiter de compétences techniques avancées.
Ce que le CERT-FR a signalé
Le 24 août 2026, le CERT-FR a publié un avis signalant la découverte de plusieurs vulnérabilités dans Metabase. Selon cet avis, ces failles pourraient permettre à un attaquant de :
- Accéder à des données confidentielles : des informations sensibles stockées ou accessibles via Metabase pourraient être exposées.
- Réaliser une injection SQL : cette technique consiste à insérer des commandes malveillantes dans une requête vers votre base de données, ce qui peut permettre de lire, modifier ou supprimer des données.
- Exploiter un problème de sécurité non précisé par l’éditeur : le CERT-FR mentionne également une vulnérabilité dont la nature exacte n’a pas été détaillée publiquement.
Beaucoup de PME pensent que Metabase, étant un outil interne, est moins exposé aux attaques. Pourtant, s’il est accessible depuis Internet ou connecté à des bases de données sensibles, il représente une porte d’entrée potentielle pour un attaquant.
Si vous n’avez pas la main directement sur Metabase (outil géré par un prestataire ou un hébergeur), signalez-leur cet avis et demandez-leur confirmation que les correctifs ont bien été appliqués.
Ce qu’il faut faire concrètement
Si votre PME utilise Metabase, vérifiez auprès de votre responsable informatique ou de votre prestataire qu’une mise à jour est disponible et appliquez-la sans attendre. En attendant le correctif, limitez si possible l’accès à l’interface Metabase aux seules personnes qui en ont besoin. Consultez l’avis officiel du CERT-FR pour suivre les évolutions : CERTFR-2026-AVI-1075.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.