CVE-2026-18691

製品	ベンダー	影響バージョン
MongoDB Server	MongoDB	レプリカセット構成（対象はSERVER-130264を参照）

high|推奨セキュリティ修正影響: 限定的

MongoDB レプリカセットを運用する管理者

30秒で判断

対応すべき人: MongoDB Server をレプリカセット / シャードクラスタで運用し、クラスタ内通信のネットワーク経路が完全には隔離されていない管理者
対応不要な人: MongoDB を使用していない、単一ノード構成、修正版へ更新済み、またはクラスタ内通信を専用の隔離ネットワークに限定している環境
確認コマンド: MongoDB Server のバージョンとレプリカセット構成、intra-cluster 通信の暗号化・ネットワーク隔離状況を確認
クイックアクション: SERVER-130264 に従い修正版へアップデート

MongoDB Server には、レプリカセットメンバ間の接続確立時に、どの認証機構が使われるかを攻撃者が影響できる問題があります。一定の条件下でクラスタ共有の内部資格情報が保護の弱い形で送信され、それが復元されると内部スーパーユーザとして各ノードへ認証されてしまう恐れがあります。

悪用には相応のネットワークアクセスが前提ですが、成功するとクラスタ全体の掌握につながり得ます。CVSSスコアは 8.8（High）、CWEは CWE-757（セキュリティ上重要なネゴシエーションにおける弱いアルゴリズムへのダウングレード）に分類されています。

製品	ベンダー	影響バージョン
MongoDB Server	MongoDB	レプリカセット構成（対象バージョンはベンダー情報 SERVER-130264 を参照）

MongoDB のセキュリティ情報（SERVER-130264）に従い、修正版へアップデートしてください。直ちに更新できない場合は、クラスタ内（intra-cluster）通信を専用の隔離ネットワークに限定し、メンバ間通信のTLSを強制してネットワークレベルでの盗聴・干渉を防止してください。

ソース	URL
NVD	https://nvd.nist.gov/vuln/detail/CVE-2026-18691
MongoDB JIRA	https://jira.mongodb.org/browse/SERVER-130264