Conjuntos de réplicas do MongoDB: use-after-free pré-autenticação pode derrubar servidores (CVE-2026-118383)

O que aconteceu

Em 10 de novembro de 2026, a MongoDB divulgou a CVE-2026-118383, um use-after-free no componente de replicação do MongoDB Server. Ela tem pontuação 9.0 no CVSS. A falha pode ocorrer quando um primário de conjunto de réplicas recém-eleito termina a sincronização. Requisições que não exigem autenticação podem acioná-la. O resultado pode ser a parada inesperada do processo do servidor. Em certas condições, ela também pode levar à execução arbitrária de código no contexto do processo do servidor.

Segundo o The Hacker News, o risco está em um membro de conjunto de réplicas que ficou atrasado e depois se torna primário, por exemplo durante um failover. A MongoDB lançou correções. A vulnerabilidade não consta no catálogo de vulnerabilidades explFebruary conhecidas e exploradas da CISA, e nenhuma das fontes relata ataques.

Quem é afetado

• Afetado: processos mongod que atuam como membros de um conjunto de réplicas. Isso inclui os conjuntos de réplicas de shards e os conjuntos de réplicas de servidores de configuração de clusters particionados.
• Não afetado: instâncias mongod independentes que não fazem parte de um conjunto de réplicas.

A falha pode ser acionada antes da autenticação, portanto ativar a autenticação não protege você. O risco maior está nos membros de conjuntos de réplicas que redes não confiáveis ou muitos hosts de aplicação conseguem alcançar.

O que fazer agora

1. Liste seus membros de conjuntos de réplicas. Em cada servidor MongoDB, verifique se o mongod roda como parte de um conjunto de réplicas (veja a próxima seção). Instâncias independentes não exigem ação urgente para esta CVE.
2. Encontre a versão corrigida para sua série de lançamento. O ticket SERVER-138119 da MongoDB (linkado abaixo) faz parte da correção. Ele lista as versões corrigidas 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35 e 4.4.32. Compare com o SERVER-138175 para confirmar a versão da sua série.
3. Faça backup da sua configuração. Salve /etc/mongod.conf (ou o equivalente no seu ambiente) e confirme que existe um backup recente dos seus dados.
4. Atualize um membro por vez. Comece pelos secundários. Atualize o pacote (por exemplo apt install mongodb-org ou dnf update mongodb-org), reinicie o mongod e aguarde até que o membro apareça como SECONDARY novamente em rs.status(). Depois execute rs.stepDown() no primário e atualize-o por último. Em clusters particionados, atualize o conjunto de réplicas dos servidores de configuração e todos os conjuntos de réplicas dos shards.
5. Limite o acesso à rede. A porta 27017 (ou sua porta personalizada) deve ser acessível apenas pelos servidores de aplicação e pelos outros membros do cluster. Use seu firewall ou bindIp para garantir isso, tanto agora quanto após a atualização.
6. Fique atento a falhas. Verifique os logs do mongod e o monitoramento do serviço em busca de reinícios inesperados, especialmente durante eleições e failovers.

Como verificar se você é afetado

• Verifique a versão com mongod --version, ou no mongosh com db.version().
• Verifique a participação em conjunto de réplicas no mongosh com db.hello().setName. Se um nome for retornado, a instância é membro de conjunto de réplicas e está afetada até ser atualizada. Se nada for retornado e rs.status() informar que a instância não está rodando com replicação, ela é independente e não está afetada.
• Em clusters particionados, execute a verificação em todos os membros de shards e em todos os membros de servidores de configuração.
• Se um membro estiver em versão anterior à versão corrigida da sua série, atualize-o.

Fontes

• https://nvd.nist.gov/vuln/detail/CVE-2026-118383
• https://jira.mongodb.org/browse/SERVER-138119