MongoDB: Mehrere kritische Schwachstellen schließen

Am 24. Juli 2026 veröffentlichte das Hong Kong Computer Emergency Response Team (HKCERT) einen Sicherheitshinweis zu mehreren Schwachstellen in MongoDB. Die Schwachstellen ermöglichen einen Remote Code Execution, eine Datenmanipulation, einen Denial of Service und eine Rechteausweitung. Die als kritisch eingestufte Schwachstelle CVE-2026-13072 betrifft MongoDB-Instanzen im Compute-Mode.

Was ist passiert?

MongoDB hat in einem Sicherheitsupdate mehrere Schwachstellen geschlossen, die von verschiedenen Sicherheitsforschern entdeckt wurden. Die Lücken betreffen unterschiedliche Komponenten und Angriffsvektoren:

1. CVE-2026-13072 (kritisch): Eine Schwachstelle in der Aggregation-Pipeline, die einen Serverabsturz oder eine Datenmanipulation ermöglicht. Betroffen sind Instanzen im Compute-Mode, der nicht standardmäßig aktiviert ist.
2. CVE-2026-25611 (hoch, CVSS 7,5): Ein Denial-of-Service über unauthentifizierte Anfragen. Angreifer können mit minimalem Bandbreitenaufwand den Server zum Absturz bringen, indem sie den Speicher erschöpfen.
3. Weitere Schwachstellen ermöglichen eine Sicherheitsbeschränkungsumgehung, eine Rechteausweitung und eine unbefugte Dateneinsicht.

Wer ist betroffen?

Betroffen sind alle MongoDB-Server, die direkt aus dem Internet erreichbar sind oder sich in Netzwerkbereichen befinden, auf die unautorisierte Personen Zugriff haben könnten. Besonders betroffen sind:

1. MongoDB-Instanzen im Compute-Mode (CVE-2026-13072)
2. Exponierte MongoDB-Instanzen ohne Authentifizierung (CVE-2026-25611)
3. Alle MongoDB-Versionen, die nicht den aktuellen Sicherheitspatches aufgespielt haben

Nicht betroffen sind MongoDB-Instanzen hinter strikten Netzwerk-Firewall-Regeln, bei denen keine externe Zugriffsmöglichkeit besteht.

Wie kritisch ist das?

Die Kombination aus Remote Code Execution und fehlender Authentifizierung bei einzelnen Schwachstellen macht dieses Update dringend. Das betrifft vor allem Unternehmen, die MongoDB als Datenbank für Webanwendungen oder interne Dienste einsetzen und die Instanzen nicht ausreichend abgesichert haben. Für MongoDB Atlas-Kunden hat der Hersteller die Patches bereits im Rahmen der Cloud-Verwaltung eingespielt. Selbst gehostete Instanzen müssen manuell aktualisiert werden.

Was sollten Admins jetzt tun?

1. MongoDB-Version prüfen: Mit db.version() die aktuelle Version ermitteln. Alle Versionen vor den aktuellen Patches sind potenziell betroffen.
2. Compute-Mode prüfen: Mit db.adminCommand({getParameter: 1, featureCompatibilityVersion: 1}) prüfen, ob Compute-Mode aktiviert ist. Bei Nichtaktivierung ist CVE-2026-13072 nicht relevant.
3. Sofort updaten: MongoDB auf die aktuellste Version aktualisieren. Die Patches sind auf der MongoDB-Download-Seite verfügbar.
4. Netzwerkzugriff einschränken: Prüfen, ob MongoDB-Port 27017 aus dem Internet erreichbar ist. Falls ja: Firewall-Regeln anpassen und nur vertrauenswürdige IP-Adressen zulassen.
5. Authentifizierung aktivieren: Sicherstellen, dass die SCRAM-Authentifizierung aktiviert und konfiguriert ist.
6. Logs prüfen: Ungewöhnliche Abfrage-Parameter und verdächtige Aggregation-Pipelines in den MongoDB-Logs untersuchen.

Einordnung für Unternehmen

MongoDB ist eine der am häufigsten eingesetzten NoSQL-Datenbanken, insbesondere für Webanwendungen, Microservices und KI-Projekte. Viele KMU nutzen MongoDB für interne Anwendungen, wobei die Absicherung oft vernachlässigt wird. Das BSI warnt regelmäßig vor ungesicherten Datenbankinstanzen, die direkt aus dem Internet erreichbar sind. Ein Update ist auch dann dringend, wenn die MongoDB-Instanz nur im internen Netzwerk erreichbar ist, da ein Angreifer mit bereits vorhandenem Netzwerkzugang die Schwachstellen ausnutzen kann.

Passende Anleitungen auf S-EDV

1. MongoDB auf Ubuntu installieren und absichern - Schritt für Schritt MongoDB sicher einrichten, inklusive Authentifizierung und Netzwerkzugriff.
2. Elasticsearch absichern - Vergleichbare NoSQL-Datenbank mit ähnlichen Absicherungsanforderungen.

Quellen

1. HKCERT Sicherheitshinweis MongoDB Mehrfach-Schwachstellen
2. MongoDB Offizielle Sicherheitsalerts
3. SentinelOne CVE-2026-13072