- Une vulnérabilité critique a été découverte dans Metabase, un outil d’analyse et de visualisation de données.
- Elle permettrait à un attaquant, sans même être connecté, d’injecter du code malveillant dans la base de données de l’application et d’en obtenir les droits administrateur.
- Si vous utilisez Metabase dans votre entreprise, appliquez le correctif de sécurité publié par l’éditeur dès que possible.
De quoi s’agit-il ?
Le 6 août 2026, l’éditeur Metabase a publié un avis de sécurité signalant une faille grave dans son logiciel. Le CERT-FR (l’autorité nationale française en cybersécurité) a relayé cette alerte le 10 septembre 2026, soulignant la gravité de la situation.
Metabase est un outil utilisé par de nombreuses entreprises pour analyser leurs données et créer des tableaux de bord. C’est précisément dans ce type d’outil, souvent connecté à des bases de données sensibles, que ce genre de faille peut avoir des conséquences importantes.
Quel est le risque concret ?
La vulnérabilité identifiée est ce que les spécialistes appellent une injection SQL. Concrètement, cela signifie qu’une personne malveillante peut envoyer des commandes indésirables directement à la base de données de l’application Metabase — sans avoir besoin d’un identifiant ou d’un mot de passe pour y accéder.
Selon le CERT-FR, cette injection SQL pourrait permettre à l’attaquant d’obtenir les droits administrateur de l’application. Autrement dit, quelqu’un d’extérieur à votre organisation pourrait potentiellement prendre le contrôle de votre instance Metabase.
Beaucoup de PME pensent que leurs outils internes, non exposés directement sur Internet, sont à l’abri. Ce n’est pas toujours le cas : si Metabase est accessible depuis l’extérieur (télétravail, accès partenaires…) ou si un attaquant a déjà un pied dans votre réseau, cette faille devient exploitable.
Si vous ne savez pas qui gère Metabase dans votre entreprise, c’est le moment de le vérifier. Cet outil est parfois installé par un service métier ou un prestataire, en dehors du service informatique. Identifiez qui en est responsable et assurez-vous qu’il est au courant de cette alerte.
Ce qu’il faut faire concrètement
Si votre entreprise utilise Metabase, rapprochez-vous immédiatement de la personne ou du prestataire qui administre cet outil. Appliquez sans délai le correctif de sécurité publié par Metabase le 6 août 2026. Si vous n’êtes pas sûr de la version installée ni de l’état de vos mises à jour, faites le point rapidement : une instance Metabase non corrigée et accessible depuis l’extérieur représente un risque sérieux. Consultez l’alerte officielle du CERT-FR pour les détails techniques : CERTFR-2026-ALE-010.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.