MongoDB: Mehrere Schwachstellen
WID-SEC-2026-3209 · erstmals 07.09.2026 · aktualisiert 05.10.2026 · CVSS 5,9
Worum es geht
MongoDB ist ein Open-Source-Dokumentendatenbank. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in MongoDB ausnutzen, um einen Denial of Service zu verursachen, Daten zu manipulieren, Informationen offenzulegen oder beliebige Befehle über die MongoDB-Erweiterung für Visual Studio Code auszuführen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- einen Denial of Service zu verursachen
- Daten zu manipulieren
- Informationen offenzulegen oder beliebige Befehle über die MongoDB-Erweiterung für Visual Studio Code auszuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Debian Linux
- Fedora Linux
- Open Source MongoDB C Driver <1.30.9
- Open Source MongoDB C Driver <2.5.2
- Open Source MongoDB C++ Driver <4.5.2
- Open Source MongoDB libmongocrypt <1.20.2
- Open Source MongoDB PHP Driver <1.21.8
- Open Source MongoDB PHP Driver <2.5.1
- Open Source MongoDB for VS Code <1.17.1
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source MongoDB C Driver 1.30.9
- Open Source MongoDB C Driver 2.5.2
- Open Source MongoDB C++ Driver 4.5.2
- Open Source MongoDB libmongocrypt 1.20.2
- Open Source MongoDB PHP Driver 1.21.8
- Open Source MongoDB PHP Driver 2.5.1
- Open Source MongoDB for VS Code 1.17.1
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- MongoDB Jira Ticket CDRIVER-6405 vom 2026-09-06 jira.mongodb.org
- MongoDB Jira Ticket CDRIVER-6407 vom 2026-09-06 jira.mongodb.org
- MongoDB Jira Ticket CDRIVER-6409 vom 2026-09-06 jira.mongodb.org
- MongoDB Jira Ticket CXX-3548 vom 2026-09-06 jira.mongodb.org
- MongoDB Jira Ticket MONGOCRYPT-960 vom 2026-09-06 jira.mongodb.org
- MongoDB Jira Ticket PHPC-2744 vom 2026-09-06 jira.mongodb.org
- MongoDB Jira Ticket VSCODE-798 vom 2026-09-06 jira.mongodb.org
- Fedora Security Advisory FEDORA-2026-358D3CCDFE vom 2026-09-08 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-7D7AC5F0F9 vom 2026-09-08 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-99AC8D2816 vom 2026-09-08 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2026-CAF49A7828 vom 2026-09-08 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-EPEL-2026-D6AEFC999F vom 2026-09-08 bodhi.fedoraproject.org
- Debian Security Advisory DSA-6539 vom 2026-10-02 security-tracker.debian.org
CVE: CVE-2026-84962, CVE-2026-84963, CVE-2026-84964, CVE-2026-84965, CVE-2026-84966, CVE-2026-84967, CVE-2026-84968
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.