Réplicas de MongoDB: un use-after-free previo a la autenticación puede bloquear servidores (CVE-2026-118383)

Qué ha ocurrido

El 10 de noviembre de 2026, MongoDB dio a conocer el CVE-2026-118383, un use-after-free en el componente de replicación de MongoDB Server. Tiene una puntuación de 9.0 según CVSS. El fallo puede producirse cuando un primario recién elegido en un conjunto de réplicas termina de ponerse al día. Las solicitudes que no requieren autenticación pueden activarlo. El resultado puede ser que el proceso del servidor se detenga de forma inesperada. En determinadas condiciones, también puede permitir la ejecución arbitraria de código en el contexto del proceso del servidor.

Según The Hacker News, el riesgo afecta a un miembro de un conjunto de réplicas que se había quedado atrasado y que después pasa a ser primario, por ejemplo durante una conmutación por error. MongoDB ha publicado correcciones. La vulnerabilidad no figura en el catálogo de vulnerabilidades explotadas conocidas de CISA, y ninguna de las fuentes informa de ataques.

Quién está afectado

• Afectado: los procesos mongod que se ejecutan como miembros de un conjunto de réplicas. Esto incluye los conjuntos de réplicas de shards y los conjuntos de réplicas de servidores de configuración de clústeres fragmentados.
• No afectado: las instancias mongod independientes que no forman parte de un conjunto de réplicas.

El fallo puede activarse antes de la autenticación, por lo que activar la autenticación no le protege. El riesgo mayor corresponde a los miembros de conjuntos de réplicas accesibles desde redes no confiables o desde muchos equipos de aplicaciones.

Qué debe hacer ahora

1. Enumere sus miembros de conjuntos de réplicas. En cada servidor MongoDB, compruebe si mongod se ejecuta como parte de un conjunto de réplicas (consulte la siguiente sección). Las instancias independientes no requieren una acción urgente para este CVE.
2. Busque la versión corregida de su serie de versiones. El ticket de MongoDB SERVER-138119 (enlazado más abajo) forma parte de la corrección. Enumera las versiones corregidas 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35 y 4.4.32. Compárelo con SERVER-138175 para confirmar la versión de su serie.
3. Haga copia de seguridad de su configuración. Guarde /etc/mongod.conf (o su equivalente) y confirme que existe una copia de seguridad reciente de sus datos.
4. Actualice un miembro cada vez. Empiece por los secundarios. Actualice el paquete (por ejemplo, apt install mongodb-org o dnf update mongodb-org), reinicie mongod y espere a que el miembro vuelva a mostrar SECONDARY en rs.status(). Después ejecute rs.stepDown() en el primario y actualícelo al final. En los clústeres fragmentados, actualice el conjunto de réplicas de servidores de configuración y todos los conjuntos de réplicas de shards.
5. Limite el acceso de red. El puerto 27017 (o su puerto personalizado) solo debe ser accesible desde los servidores de aplicaciones y los demás miembros del clúster. Utilice su cortafuegos o bindIp para aplicarlo, tanto ahora como después de la actualización.
6. Vigile los reinicios inesperados. Revise los registros de mongod y la monitorización de sus servicios en busca de reinicios inesperados, especialmente durante elecciones y conmutaciones por error.

Cómo comprobar si está afectado

• Compruebe la versión con mongod --version o, en mongosh, con db.version().
• Compruebe la pertenencia a un conjunto de réplicas en mongosh con db.hello().setName. Si se devuelve un nombre, la instancia es miembro de un conjunto de réplicas y está afectada hasta que se actualice. Si no se devuelve nada y rs.status() indica que la instancia no se ejecuta con replicación, se trata de una instancia independiente y no está afectada.
• En clústeres fragmentados, realice la comprobación en cada miembro de cada shard y en cada miembro de los servidores de configuración.
• Si un miembro tiene una versión anterior a la versión corregida de su serie, actualícelo.

Fuentes

• https://nvd.nist.gov/vuln/detail/CVE-2026-118383
• https://jira.mongodb.org/browse/SERVER-138119