MongoDB Server'da kimlik doğrulamasız kod çalıştırmaya yol açabilen açık kapatıldı

MongoDB, 10 Kasım’da güvenlik uyarıları sayfasında MongoDB Server’ı etkileyen açıkları duyurdu. Aynı gün yayımlanan CVE kayıtlarına göre açıkların sayısı 26. Bunların en yüksek puanlısı, replication bileşenindeki CVE-2026-118383. Siber Güvenlik Başkanlığı da 11 Kasım’da MongoDB için bir güvenlik bildirimi yayımladı.

CVE-2026-118383

MongoDB’ye göre açık, replication bileşenindeki bir use-after-free hatası. Hata, yeni seçilen bir replica set birincil (primary) üyesi catch-up aşamasını tamamladığında ortaya çıkabiliyor. Bu durum kimlik doğrulaması gerektirmeyen isteklerle tetiklenebiliyor ve sunucunun beklenmedik biçimde sonlanmasına ya da belirli koşullarda sunucu sürecinin bağlamında keyfi kod çalıştırmaya yol açabiliyor.

Açığın CVSS 4.0 puanı 9.5, CVSS 3.1 puanı 9.0. Puanlamaya göre saldırı ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi olmadan yapılabiliyor, ancak saldırının karmaşıklığı yüksek.

MongoDB’ye göre replica set üyeleri, sharded cluster’ların shard ve config server replica set üyeleri dahil etkileniyor. Tek başına çalışan (standalone) mongod sunucuları etkilenmiyor.

Düzeltilmiş sürümler şunlar:

• 9.0.7
• 8.3.16
• 8.0.37
• 7.0.48
• 6.0.30
• 5.0.35
• 4.4.32

Diğer açıklar

Aynı gün yayımlanan kayıtlardan öne çıkanlar şunlar:

• CVE-2026-120815: Yetkilendirme alt sistemindeki hatalı bir kontrol, yerel makineye erişimi olan kimliği doğrulanmamış birinin, yetkilendirmenin açık olduğu bir veritabanı sunucusunda yönetici yetkisi almasına izin verebiliyor. Düzeltilmiş sürümler 9.0.7, 8.3.16, 8.0.37 ve 7.0.48.
• CVE-2026-120808: macOS’taki TLS istemci uygulamasında, IPv6 adresli sunuculara giden bağlantılarda sertifika zinciri doğrulaması atlanıyor.
• CVE-2026-120824: Time-series koleksiyonlarında, kimliği doğrulanmış bir kullanıcının tetikleyebildiği use-after-free hatası.
• CVE-2026-120822: Replication ile ilgili bir yönetim komutunda eksik yetkilendirme kontrolü, yetkisiz veri erişimine yol açabiliyor.
• CVE-2026-120828 (CVSS 4.0 8.7): Ağ erişimi olan ve kimlik bilgisi olmayan bir saldırganın replica set üyelerinde bellek tükenmesine yol açabildiği bir hizmet dışı bırakma açığı.
• CVE-2026-120814: Kayda göre bir shard yöneticisi, kümede kalıcı bir root kullanıcısı oluşturabiliyor.

Kalan açıklar ağırlıklı olarak aggregation framework’teki yetkilendirme hataları, sorgu motorundaki use-after-free hataları ve kaynak tüketimi açıkları. Bazı açıklar yalnızca 9.0 dalını etkiliyor.

Önerilen önlemler

MongoDB Server’ı replica set ya da sharded cluster olarak çalıştıran kurumların kullandıkları dal için yukarıdaki düzeltilmiş sürüme ya da daha yenisine geçmesi gerekiyor. CVE-2026-118383 kimlik doğrulaması gerektirmediği için MongoDB portlarına erişimin güvenilir ağlarla sınırlı olduğunun kontrol edilmesi de yerinde olur. CVE kayıtlarında ve MongoDB’nin uyarılar sayfasında açıkların saldırılarda kullanıldığına dair bir bilgi yok.