MongoDB Server, Go Driver, Ruby Driver: Mehrere Schwachstellen
WID-SEC-2026-0386 · erstmals 11.02.2026 · aktualisiert 19.10.2026 · CVSS 7,5
Worum es geht
MongoDB ist ein Open-Source-Dokumentendatenbank. Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in MongoDB ausnutzen, um beliebigen Ruby-Code auszuführen, die Autorisierung zu umgehen, einen Denial-of-Service-Zustand zu verursachen, vertrauliche Informationen offenzulegen oder nicht näher spezifizierte Auswirkungen zu verursachen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Ruby-Code auszuführen
- die Autorisierung zu umgehen
- einen Denial-of-Service-Zustand zu verursachen
- vertrauliche Informationen offenzulegen oder nicht näher spezifizierte Auswirkungen zu verursachen
Bin ich betroffen?
Betroffen sind laut BSI:
- Open Source MongoDB <8.2.5
- Open Source MongoDB <8.0.19
- Open Source MongoDB <7.0.30
- Open Source MongoDB Go <2.5.0
- Open Source MongoDB Go <1.17.9
- Open Source MongoDB Ruby Driver Mongoid <9.0.10
- Open Source MongoDB Ruby Driver Mongoid <8.1.12
- Open Source MongoDB Ruby Driver Mongoid <8.0.12
- Open Source MongoDB Ruby Driver Mongoid <7.6.1
- SUSE openSUSE
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source MongoDB 8.2.5
- Open Source MongoDB 8.0.19
- Open Source MongoDB 7.0.30
- Open Source MongoDB Go 2.5.0
- Open Source MongoDB Go 1.17.9
- Open Source MongoDB Ruby Driver Mongoid 9.0.10
- Open Source MongoDB Ruby Driver Mongoid 8.1.12
- Open Source MongoDB Ruby Driver Mongoid 8.0.12
- Open Source MongoDB Ruby Driver Mongoid 7.6.1
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- NIST Vulnerability Database vom 2026-02-10 nvd.nist.gov
- MongoDB Issue vom 2026-02-10 jira.mongodb.org
- openSUSE Security Update OPENSUSE-SU-2026:21551-1 vom 2026-08-12 lists.opensuse.org
- openSUSE Security Update OPENSUSE-SU-2026:12058-1 vom 2026-10-18 lists.opensuse.org
CVE: CVE-2026-1847, CVE-2026-1848, CVE-2026-1849, CVE-2026-1850, CVE-2026-25609, CVE-2026-25610, CVE-2026-25611, CVE-2026-25612, CVE-2026-25613, CVE-2026-2302, CVE-2026-2303
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.