Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a signalé le 30 octobre 2026 plusieurs vulnérabilités dans l’écosystème MongoDB. Son avis CERTFR-2026-AVI-1430 distingue trois composants logiciels : les outils de gestion des bases de données, le pilote Java et l’intégration du système à Laravel.
Les risques recensés comprennent une atteinte à l’intégrité des données, un contournement de contrôles de sécurité et une injection SQL. Le CERT-FR ne présente pas ces risques comme affectant indistinctement toutes les installations du serveur MongoDB. Les versions des composants utilisés sont déterminantes pour apprécier l’exposition d’une application.
Trois composants et trois seuils de version à vérifier
L’agence identifie les versions de Database Tools antérieures à 100.20.0, celles du pilote Java antérieures à 5.14.0 et celles de Laravel MongoDB antérieures à 5.12.0. Elle référence trois identifiants de vulnérabilité, CVE-2026-116641, CVE-2026-118510 et CVE-2026-118581, et renvoie aux publications du fournisseur pour l’application des corrections.
Cette distinction importe pour les administrateurs : une application peut utiliser plusieurs de ces composants à la fois, tandis que la version du moteur de base de données ne renseigne pas, à elle seule, sur celle des bibliothèques intégrées au code applicatif. L’inventaire doit donc porter sur les dépendances réellement déployées et sur les outils de sauvegarde ou de restauration.
Laravel renforce les contrôles sur les requêtes et le chiffrement
Dans les notes de publication de Laravel MongoDB 5.12.0, le mainteneur indique avoir renforcé le contrôle de certains opérateurs JavaScript exécutés côté serveur, notamment lorsqu’ils apparaissent dans des filtres ou des étapes d’agrégation. Cette version corrige explicitement la vulnérabilité CVE-2026-118510.
Le même correctif modifie la gestion des champs chiffrés et des modèles. Les équipes utilisant ces fonctions doivent vérifier le comportement de leurs applications après mise à jour, en particulier leurs configurations de chiffrement et leurs tests de requêtes. Le fournisseur signale aussi des changements de compatibilité dans les méthodes de schéma Laravel.
Le pilote Java et les outils de restauration ont également évolué
La version 5.14.0 du pilote Java, diffusée le 28 octobre, comporte notamment un renforcement de la validation des données BSON et du traitement de documents malformés. Les applications Java doivent contrôler la version effectivement embarquée dans leurs dépendances, y compris lorsqu’elle est apportée par un autre logiciel.
Pour les opérations d’administration, la version 100.20.0 de Database Tools apporte des corrections à mongorestore et retire la prise en charge des serveurs et fichiers de sauvegarde antérieurs à MongoDB 4.2. Cette rupture de compatibilité appelle une vérification avant mise à jour des procédures de restauration et des archives conservées.
Le bulletin du CERT-FR porte sur des vulnérabilités identifiées et sur des versions à corriger ; il ne fournit pas de décompte d’organisations compromises. Pour les responsables de la sécurité des systèmes d’information, le travail consiste à rapprocher les seuils publiés des composants effectivement installés, puis à valider les mises à jour dans les environnements concernés.
