Fallo de pre-autenticación en MongoDB (CVE-2026-118383) puede tumbar servidores

Nivel A · Parchea hoy – Antes de terminar la jornada

Quién está expuesto: Servidores MongoDB en conjuntos de réplicas cuando un nodo afectado llega a primario

Nivel A porque: Infraestructura básica o herramienta popular Y en remoto, sin credenciales Y compromiso total

Alcance

Ataque

Daño

Corrección

Herramienta popular · En remoto, sin credenciales · Compromiso total

CVE-2026-118383 ↗

Lo esencial

Un fallo crítico de pre-autenticación en MongoDB, identificado como CVE-2026-118383, permite a un atacante no autenticado tumbar el servidor con dos solicitudes específicas.
El fallo se produce cuando un servidor afectado es elegido como primario en un conjunto de réplicas.
La fuente describe caídas con retardo durante el failover.

Por qué importa

Si tu aplicación usa MongoDB con conjuntos de réplicas, un atacante remoto podría provocar caídas de servicio sin credenciales, lo que afecta la disponibilidad de tus sistemas.

La checklist detrás del nivel

Checklist · 4 de 10 con sí

Sí	Afecta a equipos técnicos	MongoDB es una base de datos que operan equipos de desarrollo y operaciones.
No	Infraestructura básica	Es un producto de un único fabricante, no software básico que casi todos los equipos operan.
Sí	Herramienta popular	MongoDB es una base de datos muy extendida entre equipos de desarrollo.
No	Se está explotando	elhacker.NET solo describe el fallo; no informa de ataques observados.
No	Exploit público	elhacker.NET no menciona código de explotación ni prueba de concepto publicada.
Sí	En remoto, sin credenciales	CVSSCVE-2026-118383: CVSS 9.5 – por red, sin privilegios, sin interacción del usuario
Sí	Compromiso total	CVSSCVE-2026-118383: CVSS califica como alto el impacto en confidencialidad e integridad
No	Secretos expuestos	elhacker.NET no menciona robo ni exposición de datos o credenciales.
No	Cadena de suministro	elhacker.NET describe un fallo en el servidor, no una distribución de código malicioso.
No	Aún sin corrección	elhacker.NET no indica si ya existe una versión corregida; no hay constancia de que falte.

El registro oficial

De CVE.org, el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, FIRST EPSS y la GitHub Advisory Database. Cuando responden un hecho de la checklist, pesan más que las notas.

CVE-2026-118383 ↗CVSS 9.5 critical AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Pre-authentication use-after-free in MongoDB Server replica set primary catch-up
Explotado
No está en el catálogo de explotadas de CISA
Debilidad
CWE-416
NVD GHSA-fjxh-6vgh-cx2c

Fuente

Grave fallo de pre-autenticación en MongoDB (CVE-2026-118383) puede provocar caídas en servidores con retardo durante el failover ↗ Blog elhacker.NET · hace 59 min

Visto por primera vez hace 59 min · 1 fuente · La noticia completa · Cómo se deciden los niveles