文章总结： MongoDB服务器近期披露四个高危漏洞集群，其中CVE-2026-11933（内存泄露）和CVE-2026-9740（未认证崩溃）CVSS评分达8.7，影响7.0至8.3等多个版本。厂商已发布8.0.26/8.2.11/8.3.4等修复版本，建议管理员立即测试并部署补丁，尤其需优先处理无需认证即可利用的漏洞。 综合评分： 82 文章分类： 漏洞分析,应急响应,解决方案,漏洞预警,云安全

MongoDB服务器漏洞浪潮冲击文档数据库

sec随谈 sec随谈

sec随谈

2026年6月17日 08:26 北京

在小说阅读器读本章

去阅读

一批新的MongoDB服务器漏洞集群已浮出水面，对广泛使用的文档数据库构成真实风险。厂商已修补四个独立缺陷，涵盖范围从远程崩溃到内存信息泄露不等。

内存漏洞居首

两个最严重的漏洞CVSS评分均为8.7。CVE-2026-11933是服务器端JavaScript引擎中的一个释放后使用（use-after-free）漏洞，拥有读取权限的已认证用户可通过 $where 或 $function 调用触发该漏洞，导致服务器泄露进程内存或直接崩溃。

CVE-2026-9740的利用门槛则更低。由于该漏洞存在于BSON验证逻辑中，未经认证的攻击者只需发送一条精心构造的消息即可使mongod进程崩溃。该缺陷源于不受控制的递归调用，会悄然重置内部深度追踪机制。

已认证崩溃漏洞亦不容忽视

另外两个评分为7.1的漏洞同样值得关注。CVE-2026-9750允许已认证用户破坏内部元数据，导致服务器崩溃或查询结果错误。CVE-2026-9743则利用聚合操作中的空子管道缺陷，通过构造特定的getMore请求即可使服务器下线。

此次MongoDB服务器漏洞集群影响范围跨越多个版本，受影响分支包括7.0、8.0、8.2及8.3等。

立即打补丁

由于其中一个漏洞无需任何登录凭证即可利用，管理员应尽快升级。可直接从MongoDB社区下载页面获取最新版本并迁移至已修复的发行版。

已修复版本包括8.0.26、8.2.11和8.3.4，以及若干旧版本的维护更新。建议在正式部署前仍进行补丁测试，但鉴于存在无需认证的崩溃漏洞，速度应作为首要考量。

参考链接：

https://jira.mongodb.org/browse/SERVER-128125

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《MongoDB服务器漏洞浪潮冲击文档数据库》