MongoDB Server: Mehrere Schwachstellen
WID-SEC-2026-3236 · erstmals 09.09.2026 · aktualisiert 09.09.2026 · CVSS 9,8
Worum es geht
MongoDB ist ein Open-Source-Dokumentendatenbank. Ein Angreifer kann mehrere Schwachstellen in MongoDB Server ausnutzen, um erweiterte Berechtigungen, einschließlich Administratorrechte, zu erlangen und beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren oder offenzulegen oder einen Denial-of-Service-Zustand auszulösen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- erweiterte Berechtigungen
- einschließlich Administratorrechte und zu erlangen
- beliebigen Code auszuführen
- Sicherheitsmaßnahmen zu umgehen
- Daten zu manipulieren oder offenzulegen oder einen Denial-of-Service-Zustand auszulösen
Bin ich betroffen?
Betroffen sind laut BSI:
- Open Source MongoDB Server <7.0.41
- Open Source MongoDB Server <8.0.30
- Open Source MongoDB Server <8.3.9
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source MongoDB Server 7.0.41
- Open Source MongoDB Server 8.0.30
- Open Source MongoDB Server 8.3.9
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- GitHub Security Advisory GHSA-3566-g77x-4r27 vom 2026-09-08 github.com
- GitHub Security Advisory GHSA-jx9c-hw48-grqc vom 2026-09-08 github.com
- GitHub Security Advisory GHSA-qqwq-hqp9-87gv vom 2026-09-08 github.com
- GitHub Security Advisory GHSA-rchq-qm85-w78g vom 2026-09-08 github.com
- GitHub Security Advisory GHSA-rg3j-hvqv-ccpr vom 2026-09-08 github.com
- EU Vulnerability Database EUVD-2026-72913 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72914 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72915 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72916 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72917 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72919 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72939 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72940 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72941 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72942 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72943 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72944 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72945 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72946 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72947 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72948 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72949 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72950 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72951 vom 2026-09-08 euvd.enisa.europa.eu
- EU Vulnerability Database EUVD-2026-72952 vom 2026-09-08 euvd.enisa.europa.eu
und 3 weitere Quellen in der Originalmeldung
CVE: CVE-2026-82052, CVE-2026-82053, CVE-2026-82054, CVE-2026-82055, CVE-2026-82056, CVE-2026-82057, CVE-2026-82058, CVE-2026-82059, CVE-2026-82060, CVE-2026-82061, CVE-2026-82062, CVE-2026-82063, CVE-2026-82064, CVE-2026-82065, CVE-2026-82066, CVE-2026-82067, CVE-2026-82068, CVE-2026-82069, CVE-2026-82070, CVE-2026-82071 …
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.