MongoDB: falha sem autenticação causa queda; patch é recomendado

Versões corrigidas do MongoDB Server já estariam disponíveis para a CVE-2026-118383. Segundo a reportagem mais recente, duas requisições sem autenticação podem preparar a queda de um membro de conjunto de réplicas quando ele assume como servidor principal ainda atrasado na sincronização.[1]Critical Pre-Auth MongoDB Flaw (CVE-2026-118383) Can Crash Lagging Servers on Failoverthehackernews.com · rssAbrir fonte originalVer na lista de fontes

A cadeia descrita exige duas etapas. Primeiro, um agente envia duas requisições sem login. Depois, o servidor afetado precisa ser escolhido para assumir como principal durante um failover, enquanto ainda não recebeu algumas alterações recentes. Nessas condições, ele pode cair.[1]Critical Pre-Auth MongoDB Flaw (CVE-2026-118383) Can Crash Lagging Servers on Failoverthehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

O risco mais claro é de disponibilidade: um ataque iniciado sem credenciais pode derrubar justamente um nó promovido durante a recuperação do conjunto de réplicas. Isso pode complicar um failover que deveria manter o banco funcionando, embora o lote não demonstre o impacto completo sobre um cluster.[1]Critical Pre-Auth MongoDB Flaw (CVE-2026-118383) Can Crash Lagging Servers on Failoverthehackernews.com · rssAbrir fonte originalVer na lista de fontes

A recomendação publicada é atualizar todos os membros do conjunto de réplicas, não apenas o principal atual. O DailyDarkWeb afirma que instâncias autônomas não são afetadas, mas o lote não fornece números de versão nem instruções oficiais para confirmar o escopo da correção.[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[1]Critical Pre-Auth MongoDB Flaw (CVE-2026-118383) Can Crash Lagging Servers on Failoverthehackernews.com · rssAbrir fonte originalVer na lista de fontes

A queda foi atribuída à CVE-2026-118383 e teria sido reproduzida pela Datadog. A possibilidade de execução de código permanece apenas uma alegação condicionada: o relato diz que ela pode ocorrer em certas circunstâncias, mas também deixa claro que o teste não a demonstrou.[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[4]securitylabs.datadoghq.comsecuritylabs.datadoghq.com · rssAbrir fonte originalVer na lista de fontes

O The Hacker News descreve a falha como crítica e seu perfil no X informa pontuação CVSS 9,5. Já o DailyDarkWeb destaca a reprodução da queda sem autenticação e separa esse resultado observado da execução de código, que não apareceu no teste citado.[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes

A entrada da Datadog e a publicação do DailyDarkWeb surgiram primeiro no lote. Cerca de cinco horas depois, o The Hacker News publicou uma descrição mais direta da sequência das duas requisições, do atraso de replicação e do failover, acrescentando que correções haviam sido lançadas naquela semana.[4]securitylabs.datadoghq.comsecuritylabs.datadoghq.com · rssAbrir fonte originalVer na lista de fontes[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[1]Critical Pre-Auth MongoDB Flaw (CVE-2026-118383) Can Crash Lagging Servers on Failoverthehackernews.com · rssAbrir fonte originalVer na lista de fontes

2 grupos independentes, 3 atualizações e 3 interações.

A fonte da Datadog identifica o problema como use-after-free, uma falha em que o programa tenta reutilizar memória que já foi liberada. O material disponível, porém, não traz o corpo dessa análise, então não permite verificar aqui como as duas requisições produzem o estado defeituoso nem quais condições adicionais seriam necessárias para execução de código.[4]securitylabs.datadoghq.comsecuritylabs.datadoghq.com · rssAbrir fonte originalVer na lista de fontes[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes

A evidência mais próxima da pesquisa técnica é a página da Datadog, mas sua entrada no lote não contém texto. Os detalhes vêm principalmente de uma reportagem do The Hacker News e de publicações no X. Sem um boletim da MongoDB, números das versões corrigidas ou prova técnica completa, as afirmações sobre alcance e possível execução de código devem permanecer tratadas como relatos, não como confirmação independente.[4]securitylabs.datadoghq.comsecuritylabs.datadoghq.com · rssAbrir fonte originalVer na lista de fontes[1]Critical Pre-Auth MongoDB Flaw (CVE-2026-118383) Can Crash Lagging Servers on Failoverthehackernews.com · rssAbrir fonte originalVer na lista de fontes[3]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes