שרת מסד הנתונים MongoDB מחזיר, בגרסאות מסוימות, פיסות זיכרון שלא היו אמורות לצאת ממנו, ולפונה שמבקש אותן לא צריך להיות חשבון בכלל. הציון הוא 8.7 מתוך 10, וסוכנות הסייבר האמריקאית CISA סימנה את החולשה כמנוצלת בשטח בסוף דצמבר 2025.
מה החולשה?
כשלקוח מתחבר ל-MongoDB הוא יכול לבקש שהתקשורת תהיה דחוסה, כדי לחסוך ברוחב פס. הודעה דחוסה נושאת בכותרת שלה שדות שמצהירים כמה נתונים מגיעים אחריה, והשרת סומך על ההצהרה הזאת כשהוא קורא את ההודעה.
הבעיה מתחילה כששני שדות האורך אינם מסכימים ביניהם. השרת ממשיך לקרוא לפי המספר שהוצהר, גם כשבפועל נשלחו פחות נתונים, וממשיך אל אזור בזיכרון שאף אחד עדיין לא כתב אליו כלום בהודעה הזאת. מה שיושב שם הוא שאריות של מה שהשרת עיבד קודם, והן חוזרות אל השולח.
זו אינה השתלטות על מסד הנתונים ולא שינוי של נתונים. זו דליפה. מה שהופך אותה לחמורה הוא שהיא לא דורשת שם משתמש, רק יכולת להגיע אל הפורט של השרת.
מי מושפע?
התיקון חילק את קווי הגרסאות: 8.2 עד 8.2.3, 8.0 עד 8.0.17, 7.0 עד 7.0.28, 6.0 עד 6.0.27, 5.0 עד 5.0.32 ו-4.4 עד 4.4.30. הקווים הישנים יותר, 4.2, 4.0 ו-3.6, מופיעים ברשומה כמושפעים מהגרסה הראשונה שלהם ובלי גרסה מתקנת.
MongoDB הוא מסד נתונים נפוץ מאוד בסביבות פיתוח ובשירותי ווב, וגם בישראל הוא מהבחירות השכיחות בחברות תוכנה ובסטארטאפים. משתמשים פרטיים אינם מושפעים ישירות, אבל נתונים שלהם עשויים לשבת בשרת כזה.
האם מנוצלת בפועל?
כן. החולשה נכנסה ב-29 בדצמבר 2025 לקטלוג ה-KEV, הקטלוג שבו מרכזת CISA את החולשות שתועד שתוקפים משתמשים בהן בעולם האמיתי ולא רק במעבדה. לגופים פדרליים בארצות הברית נקבע מועד תיקון עד ה-19 בינואר 2026.
מה עושים?
עדכנו לגרסה המתקנת של הקו שאתם מריצים: 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 או 4.4.30. הרשימה המלאה מופיעה גם בתיבת המידע הטכני בתחתית העמוד.
אם אתם על 4.2, 4.0 או 3.6, אין עבורכם גרסה מתקנת ברשומה. שם הפתרון אינו עדכון אלא מעבר לאחד הקווים הנתמכים, וכדאי להתחיל לתכנן אותו ולא לדחות.
בלי קשר לגרסה, בדקו מי בכלל יכול להגיע לפורט של מסד הנתונים. החולשה נוצלת בלי הזדהות, כך שמסד נתונים שחשוף לאינטרנט או לרשת רחבה מדי הוא זה שנמצא בסיכון האמיתי. הגבילו את הגישה לשרתי האפליקציה בלבד.