Scalingo : 90 000 personnes exposées après l'exploitation d'une faille critique de Metabase

Le 6 août 2026, l’éditeur Metabase a publié un correctif pour la CVE-2026-72898, une injection SQL exploitable sans authentification et notée 10,0 sur l’échelle CVSS, qui permet à un attaquant distant d’obtenir un accès administrateur sur une instance exposée. La vulnérabilité a été massivement exploitée dans les jours suivants, à l’échelle de milliers d’instances auto-hébergées dans le monde. L’hébergeur français Scalingo en utilisait une en interne, connectée à un entrepôt de données analytiques.

La chronologie publiée par l’entreprise est inhabituellement précise. Deux séries d’exfiltration ont eu lieu le 8 août entre 1 h 03 et 4 h 18, alors que l’instance n’était pas encore corrigée. Scalingo a pris connaissance de la vulnérabilité le 10 août à 9 h 39 et mis l’instance hors ligne quarante-six minutes plus tard, avant de déployer le correctif, de faire pivoter les identifiants et de lancer une analyse forensique. La CNIL a été notifiée le 11 août, les clients concernés le 12 août.

Les données exfiltrées sont des métadonnées de comptes : identité et contact, société, identifiants techniques, dates de création et de dernière connexion, statut du compte, rôle, activation du MFA, identifiant GitHub associé, éléments limités de facturation, ainsi que les noms de certaines variables d’environnement sans leurs valeurs. L’hébergeur indique n’avoir trouvé aucune trace d’accès aux applications en production de ses clients, à leurs bases de données ni aux contenus qu’elles hébergent, et précise que les mots de passe, coordonnées bancaires, secrets MFA, jetons d’accès, code source et clés de chiffrement n’ont pas été touchés.

L’incident reste modéré au regard des catégories de données concernées, mais il est instructif à deux titres. D’une part, il montre le délai réel d’exploitation d’une vulnérabilité critique publiée : moins de quarante heures entre le bulletin de l’éditeur et l’exfiltration, un rythme incompatible avec un cycle de mise à jour hebdomadaire. D’autre part, il illustre la valeur d’un outil d’analyse interne comme cible : Metabase n’héberge pas les données de production, mais il en concentre des extraits pour les besoins du pilotage, ce qui en fait un raccourci vers l’information sans passer par les systèmes les mieux défendus. La qualité de la communication de Scalingo, avec une chronologie horodatée et un périmètre explicite, tranche par ailleurs avec le silence de nombreuses organisations françaises confrontées cet été à des incidents comparables.