Critical MongoDB Flaw Lets Attackers Crash Database Servers With Just Two Ping Requests

MongoDB has patched a critical flaw, tracked as CVE-2026-118383, that can let a remote attacker with no login crash a database server using two simple ping requests. The bug carries a CVSS v4.0 score of 9.5. It sits in the replication code that runs when a new primary server finishes catching up. MongoDB announced the fix on November 10, 2026, and said it found the problem internally. The company said it knows of no attempts to abuse it. MongoDB Database Crash Vulnerability

The GitHub advisory describes a use-after-free bug. This means the program keeps using a piece of memory after it has already been released. The advisory says requests that need no authentication can trigger the condition. The result may be a sudden server shutdown. Under some conditions, it could also be arbitrary code execution inside the server process. Only replica set members are affected. That includes the shard and config server members in sharded clusters. A standalone mongod instance does not run the catch-up step, so it is safe from this bug. MongoDB Election Timeline (Image Source: Datadog Security Labs)

Researchers at Datadog Security Labs explained the chain. When a replica set member wins an election, it first applies writes it missed. Only then does it accept new ones. The bug lives in the cleanup at the end of that step. Vulnerable servers accept a ping command before login. Saldırgan, bunlardan ikisini readConcern.afterOpTime değeri ile gönderir. Her biri, MongoDB'nin waiter (bekleyen) olarak adlandırdığı bekleyen bir bildirim bırakır. Bu bekleyiciler başlangıçta hiçbir şey yapmazlar. Üye yeniden başlatılana, geri alınana veya devre dışı bırakılana kadar yerinde kalırlar. Çökmenin gerçekleşmesi için saldırganın kontrol edemediği iki şey daha gereklidir. Bir üye geride kalmalı ve aynı üye daha sonra bir seçimi kazanmalıdır. Bu durum, bakım sırasında veya bir kesinti esnasında meydana gelebilir. Eşitleme sona erdiğinde temizleme işlemi iki kez çalışır ve boşaltılan belleğe dokunur. Ardından sunucu, herhangi bir yazma işlemi yapamadan çöküyor.