Une faille de sécurité critique dans Metabase, l'outil open source d'analyse et de visualisation de données massivement utilisé dans les organisations publiques françaises, a permis à des attaquants de compromettre 118 comptes du laboratoire d'innovation de l'ANSSI et deux instances de la DINUM en 2026. L'incident illustre les risques systémiques liés aux outils analytics tiers mal configurés au sein même des administrations chargées de la cybersécurité nationale.
La faille Metabase : un vecteur d'attaque sous-estimé
Metabase est un outil Business Intelligence (BI) open source qui permet de créer des tableaux de bord et des analyses de données sans écrire de code SQL. Déployé sur des dizaines de milliers de serveurs dans le monde, il a régulièrement été la cible de chercheurs en sécurité. La CVE exploitée dans cet incident : une vulnérabilité d'injection SQL combinée à un contournement d'authentification : permettait d'obtenir un accès non authentifié à la base de données sous-jacente et, dans certaines configurations, d'exécuter du code à distance.
Le schéma d'attaque suivait un pattern classique en trois étapes : reconnaissance des instances Metabase exposées sur internet (via Shodan ou Censys), exploitation automatisée de la faille d'authentification, puis exfiltration des tokens de session stockés en base. Une fois les tokens compromis, les attaquants accédaient aux tableaux de bord internes sans déclencher d'alerte, car les connexions semblaient légitimes du point de vue des logs d'accès.
L'ANSSI et la DINUM : quand les gardiens sont touchés
L'ironie de l'incident n'a pas échappé aux observateurs : l'Agence nationale de la sécurité des systèmes d'information, qui publie régulièrement des guides de hardening et alerte les organisations sur les vulnérabilités logicielles, utilisait une instance Metabase insuffisamment sécurisée dans son laboratoire d'innovation. Les 118 comptes compromis étaient liés à des projets expérimentaux : analyses de données ouvertes, prototypes de tableaux de bord : ce qui explique peut-être un niveau de vigilance moindre que pour les systèmes de production critiques.
La DINUM (Direction interministérielle du numérique), responsable de la transformation numérique de l'État français, a également été touchée sur deux instances. Ces instances hébergeaient des analyses liées au suivi de projets interministériels, sans données personnelles sensibles selon les déclarations officielles. La DINUM a immédiatement isolé les systèmes concernés et lancé un audit complet de ses déploiements Metabase.
Analyse technique de la vulnérabilité
La faille exploitée appartient à la famille des SSRF (Server-Side Request Forgery) combinées à une mauvaise validation des paramètres d'API. Plus précisément, un endpoint de l'API d'administration de Metabase ne validait pas correctement les paramètres de connexion à la base de données lors de la configuration initiale. Un attaquant pouvait envoyer une requête spécialement forgée pour forcer le serveur à se connecter à une base de données externe sous son contrôle, récupérant ainsi les credentials utilisés par Metabase pour ses connexions.
Dans les versions antérieures à la 0.46.6.1, ce vecteur permettait également l'exécution de code via les fonctions H2 (la base de données embarquée de Metabase) lorsque celle-ci était utilisée en mode développement. Les instances de production utilisant PostgreSQL ou MySQL étaient exposées à l'exfiltration de données mais pas nécessairement à l'exécution de code arbitraire.
La réponse de l'ANSSI et les recommandations
L'ANSSI a publié un avis de sécurité dans les 48 heures suivant la détection de l'incident, recommandant à toutes les organisations utilisant Metabase de mettre à jour immédiatement vers les versions corrigées et d'effectuer une rotation de tous les credentials. L'agence a également publié une liste d'indicateurs de compromission (IoC) permettant aux équipes SOC de vérifier si leurs instances avaient été ciblées.
Les recommandations techniques incluaient notamment : ne jamais exposer Metabase directement sur internet sans reverse proxy et authentification forte, cloisonner les bases de données auxquelles Metabase accède avec des comptes en lecture seule uniquement, activer les logs d'audit détaillés et les transmettre vers un SIEM, et appliquer les mises à jour de sécurité dans les 72 heures suivant leur publication.
Les leçons systémiques pour la sécurité des administrations
Cet incident met en lumière plusieurs problèmes structurels dans la gestion de la sécurité des outils analytics dans le secteur public. Premièrement, la dichotomie entre systèmes "de production" et "d'expérimentation" crée souvent un angle mort sécuritaire : les outils de lab sont perçus comme moins risqués et font l'objet d'une surveillance moindre, alors qu'ils peuvent accéder à des données organisationnelles réelles.
Deuxièmement, l'explosion des outils no-code et low-code dans les administrations : Metabase, Superset, Grafana, Power BI : multiplie les surfaces d'attaque sans que les équipes de sécurité aient nécessairement été impliquées dans leur déploiement. Ces outils nécessitent des connexions à des bases de données de production, ce qui en fait des cibles de premier choix pour des attaquants cherchant à contourner les protections directes des SGBD.
Troisièmement, la chaîne de mise à jour de ces outils open source souffre parfois de délais importants dans les organisations publiques, où les processus de validation et de qualification peuvent ralentir l'application des correctifs critiques. L'écart entre la publication d'un patch et son déploiement effectif peut se compter en semaines ou en mois, offrant une fenêtre d'exploitation confortable aux attaquants.
Comment sécuriser son déploiement Metabase en 2026
Pour les organisations qui utilisent Metabase, voici les mesures essentielles à mettre en place immédiatement. Commencez par vérifier la version installée et appliquer tous les patches disponibles : la version minimum recommandée est la 0.47.0 pour les déploiements open source. Configurez Metabase derrière un reverse proxy qui impose une authentification SSO (SAML, OIDC) avant d'accéder à l'interface.
Limitez les connexions aux bases de données en utilisant des comptes dédiés avec uniquement les privilèges nécessaires (SELECT uniquement dans la plupart des cas), et n'accordez jamais les droits d'écriture ou de modification de schéma au compte utilisé par Metabase. Activez le chiffrement des credentials stockés et configurez une rotation automatique des tokens. Auditez régulièrement les accès anormaux (connexions depuis des IP inhabituelles, téléchargements massifs de données) en intégrant les logs Metabase à votre SIEM.
Enfin, documentez clairement quelles bases de données sont accessibles depuis Metabase et évaluez régulièrement si cette accessibilité est toujours justifiée. La réduction de la surface d'exposition reste la mesure de sécurité la plus efficace, surtout pour des outils qui ne sont pas au cœur des processus métier critiques.
Conclusion : la sécurité des outils analytics, un enjeu de 2026
La compromission de comptes à l'ANSSI et la DINUM via Metabase envoie un signal clair : aucune organisation n'est à l'abri, même celles dont la mission première est la cybersécurité. Cela rappelle que la sécurité n'est pas un état binaire mais un processus continu d'amélioration, de surveillance et d'adaptation. Les outils analytics représentent désormais un vecteur d'attaque majeur que les équipes de sécurité doivent intégrer dans leurs modèles de menace : au même titre que les applications web traditionnelles ou les services cloud.
