พบช่องโหว่ RCE ในเซิร์ฟเวอร์ MongoDB

two bullet surveillance cameras attached on wall — Scott Webb / Unsplash

มีช่องโหว่ร้ายแรงในฐานข้อมูล NoSQL "MongoDB Server" ซึ่งอาจทำให้สามารถเรียกใช้โค้ดโดยไม่ได้รับอนุญาตหรือเกิดการปฏิเสธบริการได้ในสภาวะเฉพาะ

ช่องโหว่นี้เรียกว่า "CVE-2026-118383" เกี่ยวข้องกับการจัดการการทำซ้ำข้อมูล โดย MongoDB ได้เผยแพร่คำแนะนำด้านความปลอดภัยเมื่อวันที่ 10 พฤศจิกายน 2026 เพื่อกระตุ้นให้ผู้ใช้ดำเนินการแก้ไข

ปัญหานี้เกิดขึ้นเมื่อมีการเลือกตั้งพรายมาร์ใหม่ในชุดการทำซ้ำ ขณะที่พยายามทำให้ข้อมูลล่าสุดตามทัน ซึ่งอาจทำให้เกิดข้อผิดพลาด

ช่องโหว่นี้สามารถถูกใช้โดยไม่ต้องการการรับรอง และอาจทำให้เซิร์ฟเวอร์หยุดทำงานโดยไม่คาดคิด หรือในบางกรณีอาจสามารถเรียกใช้โค้ดด้วยสิทธิ์ของกระบวนการเซิร์ฟเวอร์ได้

คะแนนจากระบบการประเมินช่องโหว่ "CVSSv4.0" อยู่ที่ "9.5" และ "CVSSv3.1" อยู่ที่ "9.0" ซึ่งแสดงถึงระดับความสำคัญสูงสุด "Critical" ขณะนี้ยังไม่พบการใช้งานช่องโหว่นี้ในทางที่เป็นอันตราย

MongoDB ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ในเวอร์ชัน "MongoDB Server 9.0.7", "8.3.16", "8.0.37", "7.0.48", "6.0.30", "5.0.35", "4.4.32" และมีการปล่อยเวอร์ชันเพิ่มเติม ได้แก่ "9.0.8", "8.3.17", "8.0.38"