「MongoDB Server」にRCE脆弱性 - 修正版を公開

NoSQLデータベース「MongoDB Server」に深刻な脆弱性が明らかとなった。特定の条件下において任意のコードを実行されたり、サービス拒否に陥るおそれがある。

レプリケーション処理に関する「Use After Free」の脆弱性「CVE-2026-118383」が確認されたもの。MongoDBは現地時間2026年11月10日にセキュリティアドバイザリを公開し、利用者に対応を呼びかけた。

データを複製するレプリカセットにおいて、あらたに選出されたプライマリが最新の状態へ追い付くキャッチアップ処理の完了時に不具合が生じるおそれがある。

認証を必要とすることなく悪用されるおそれがあり、細工されたリクエストによってサーバが予期せず終了したり、条件次第ではサーバプロセスの権限で任意のコードを実行される可能性があるという。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.5」、「CVSSv3.1」では「9.0」と評価されている。重要度は4段階中もっとも高い「クリティカル（Critical）」。アドバイザリの公表時点で脆弱性の悪用は確認されていない。

「MongoDB Server 9.0.7」「同8.3.16」「同8.0.37」「同7.0.48」「同6.0.30」「同5.0.35」「同4.4.32」にて脆弱性を解消。また追加リリースとして「同9.0.8」「同8.3.17」「同8.0.38」が提供されている。

（Security NEXT - 2026/11/12 ）ツイート