Skip to content
Hacker Posts

MongoDB : 35 CVE dans les pilotes, le CERT-FR publie l'AVI-1293

Le CERT-FR recense 35 CVE touchant les pilotes MongoDB (C, C++, Go, PHP, Python) et libmongocrypt. Impact principal : déni de service à distance. La correction passe par vos dépendances applicatives.

Publié le 2 min de lecture
cvemongodbanssialerte

Le CERT-FR a publié le 12 octobre 2026 l'avis CERTFR-2026-AVI-1293, qui recense 35 vulnérabilités (CVE) dans l'écosystème MongoDB. Particularité qui change la remédiation : ce ne sont pas le serveur mongod ni Compass qui sont visés, mais les pilotes clients et la bibliothèque de chiffrement — du code embarqué dans vos applications.

Ce qui est affecté

L'avis cible les bibliothèques côté client, pas le moteur de base de données :

  • Pilote C : versions 2.5.x antérieures à 2.5.6 ; toutes les versions antérieures à 1.30.13
  • Pilote C++ : versions antérieures à 4.6.1
  • Pilote Go : versions antérieures à 2.9.2
  • libmongocrypt : versions antérieures à 1.20.5
  • Pilote PHP : versions 2.1.x antérieures à 2.1.11 ; versions 2.5.x antérieures à 2.5.4 ; toutes les versions antérieures à 1.21.11
  • Pilote Python : versions antérieures à 4.18.3

Le CERT-FR renvoie aux bulletins éditeur du 8 octobre (notamment CDRIVER-6370/6418/6419/6423, CXX-3551, GODRIVER-4102/4136, MONGOCRYPT-964/966/986, PHPC-2739/2741, PYTHON-6110) et à ops-manager-server-8027 du 9 octobre pour le détail version par version.

Impacts

L'avis retient deux impacts : un déni de service à distance et un impact « non spécifié par l'éditeur ». L'avis ne cartographie pas chaque CVE sur un produit ou une version précise — à vérifier dans les bulletins MongoDB correspondants. Exemple d'identifiant listé : CVE-2026-59639.

Que faire

  1. Inventoriez vos pilotes, pas votre serveur. Un mongod à jour ne vous protège pas : la faille est dans la couche cliente. Listez chaque service qui embarque un pilote MongoDB et sa version exacte.
  2. Mettez à niveau au-delà des bornes ci-dessus pour chaque langage concerné (C, C++, Go, PHP, Python) et pour libmongocrypt.
  3. Traitez libmongocrypt comme une dépendance transitive : elle est tirée par le chiffrement côté client (CSFLE/Queryable Encryption) et peut être masquée dans vos arbres de dépendances.
  4. Rejouez vos tests d'intégration après bump : un changement de version majeure de pilote (C 1.x vers 2.x, par exemple) peut casser l'API.

Contexte

C'est le deuxième lot MongoDB signalé par le CERT-FR en moins de trois semaines, après CERTFR-2026-AVI-1234 (cinq CVE, 28 septembre) qui portait sur le serveur, les pilotes et Compass. Le volume — 35 CVE d'un coup — reflète surtout un ménage coordonné dans les bibliothèques clientes plutôt qu'une faille unique à fort impact. Pour les équipes, le point d'attention est le même à chaque fois : les pilotes de base de données vieillissent dans les images applicatives bien après la mise à jour des serveurs.

Articles liés