MongoDB Clients: Mehrere Schwachstellen
WID-SEC-2026-3066 · erstmals 28.08.2026 · aktualisiert 17.09.2026 · CVSS 8,1
Worum es geht
MongoDB ist ein Open-Source-Dokumentendatenbank. Ein Angreifer kann mehrere Schwachstellen in verschiedenen MongoDB Clients ausnutzen, um Sicherheitsvorkehrungen zu umgehen, vertrauliche Informationen offenzulegen, Daten zu manipulieren oder Denial-of-Service-Zustände herbeizuführen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- Sicherheitsvorkehrungen zu umgehen
- vertrauliche Informationen offenzulegen
- Daten zu manipulieren oder Denial-of-Service-Zustände herbeizuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Red Hat Enterprise Linux
- Fedora Linux
- SUSE openSUSE
- Open Source MongoDB BI Connector <2.14.30
- Open Source MongoDB GO Driver <2.8.2
- Open Source MongoDB C++ Driver <4.5.1
- Open Source MongoDB libmongocrypt <1.20.3
- Open Source MongoDB C Driver <2.5.1
- Open Source MongoDB PHP Library <2.4.1
- Open Source MongoDB PHP Library <1.21.4
- Open Source MongoDB Rust Driver <3.8.2
- Open Source MongoDB C# Driver <3.11.1
und 2 weitere
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source MongoDB BI Connector 2.14.30
- Open Source MongoDB GO Driver 2.8.2
- Open Source MongoDB C++ Driver 4.5.1
- Open Source MongoDB libmongocrypt 1.20.3
- Open Source MongoDB C Driver 2.5.1
- Open Source MongoDB PHP Library 2.4.1
- Open Source MongoDB PHP Library 1.21.4
- Open Source MongoDB Rust Driver 3.8.2
- Open Source MongoDB C# Driver 3.11.1
- Open Source MongoDB PHP Driver 1.21.6
- Open Source MongoDB PHP Driver 2.4.1
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- MongoDB Connector for BI Release Notes vom 2026-08-27 www.mongodb.com
- MongoDB Go Driver JIRA GODRIVER-4075 vom 2026-08-27 jira.mongodb.org
- MongoDB C++ Driver JIRA CXX-3552 vom 2026-08-27 jira.mongodb.org
- MongoDB C++ Driver Release Notes r4.5.1 vom 2026-08-27 github.com
- MongoDB libmongocrypt JIRA MONGOCRYPT-977 vom 2026-08-27 jira.mongodb.org
- MongoDB libmongocrypt Release Notes 1.20.3 vom 2026-08-27 github.com
- MongoDB C Driver JIRA CDRIVER-6424 vom 2026-08-27 jira.mongodb.org
- MongoDB C Driver Release Notes 2.5.1 vom 2026-08-27 github.com
- MongoDB PHP Library JIRA PHPLIB-1927 vom 2026-08-27 jira.mongodb.org
- MongoDB PHP Library Release Notes 1.21.4 vom 2026-08-27 github.com
- MongoDB PHP Library Release Notes 2.4.1 vom 2026-08-27 github.com
- MongoDB PHP Driver Release Notes 1.21.6 vom 2026-08-27 github.com
- MongoDB PHP Driver Release Notes 2.4.1 vom 2026-08-27 github.com
- MongoDB Rust Driver JIRA RUST-2467 vom 2026-08-27 jira.mongodb.org
- MongoDB Rust Driver Release Notes v3.8.2 vom 2026-08-27 github.com
- MongoDB C# Driver Release Notes 3.11.1 vom 2026-08-27 www.nuget.org
- MongoDB C# Driver JIRA CSHARP-6156 vom 2026-08-27 jira.mongodb.org
- MongoDB C# Driver JIRA CSHARP-6158 vom 2026-08-27 jira.mongodb.org
- MongoDB C# Driver JIRA CSHARP-6171 vom 2026-08-27 jira.mongodb.org
- MongoDB C# Driver JIRA CSHARP-6164 vom 2026-08-27 jira.mongodb.org
- Fedora Security Advisory FEDORA-2026-276EF95C83 vom 2026-09-01 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-2210B463DC vom 2026-09-01 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-92974D6AB3 vom 2026-09-01 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-EAC81454B1 vom 2026-09-01 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-4C8991A29D vom 2026-09-01 bodhi.fedoraproject.org
und 12 weitere Quellen in der Originalmeldung
CVE: CVE-2026-75159, CVE-2026-75573, CVE-2026-81521, CVE-2026-81522, CVE-2026-81523, CVE-2026-81524, CVE-2026-81525, CVE-2026-81526, CVE-2026-81527, CVE-2026-81528, CVE-2026-81529, CVE-2026-81530
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.