認証不要でDBが停止の恐れ　MongoDBが重大脆弱性を修正、CVSS9.5で7系統に更新版

　MongoDBは11月11日、主力のデータベース「MongoDB Server」に見つかった重大な脆弱性「CVE-2026-118383」を修正したと、公式フォーラムの告知で明らかにした。共通脆弱性評価システム（CVSS）v4.0の基本値は9.5で、深刻度は最も高い「Critical（緊急）」に当たる。v3.1でも9.0とされている。

　同社のアラート一覧によると、脆弱性の題名は「レプリカセットの主ノードによるキャッチアップ時の、認証前の解放後使用（Use-After-Free）」。解放済みのメモリ領域を再び使ってしまう不具合で、認証なしのリクエストで引き起こせるという。影響の多くはサーバのクラッシュだが、条件次第では任意のコードが実行される恐れもあるとされる。

　影響を受けるのは、レプリカセットの構成員だ。シャードや設定サーバとして動く構成員も含まれる。一方で、単独で動かす「mongod」には影響がない。

　修正版は、9.0系が「9.0.7」、8.3系が「8.3.16」、8.0系が「8.0.37」、7.0系が「7.0.48」、6.0系が「6.0.30」、5.0系が「5.0.35」、4.4系が「4.4.32」。それぞれの系統で、これより前の版が対象となる。

　MongoDBは、この脆弱性を社内のセキュリティプログラムで発見したと説明している。悪用の試みは把握していないという。また、この修正は最近の業界の脆弱性やセキュリティ事案とは別のものだと説明している。ただし、無償で使えるCommunity Editionの利用者には、修正版へできるだけ早く更新するよう強く勧めている。

　クラウドサービスの「MongoDB Atlas」では、クラスターのメンテナンス時に修正版へ自動で更新される。メンテナンスを延期している場合は、更新を前倒しするよう求めている。