Se ha descubierto una vulnerabilidad de alta gravedad, CVE-2026-25611 (CVSS 7.5), en MongoDB que permite a atacantes no autenticados bloquear servidores expuestos utilizando un ancho de banda mínimo. Según Cato CTRL, afecta a todas las versiones de MongoDB donde la compresión está habilitada (v3.4+, activada por defecto desde v3.6), incluyendo MongoDB Atlas. Además, datos de Shodan indican que más de 207.000 instancias de MongoDB están actualmente expuestas

Se ha descubierto una vulnerabilidad de alta gravedad, CVE-2026-25611 (CVSS 7.5), en MongoDB que permite a atacantes no autenticados bloquear servidores expuestos utilizando un ancho de banda mínimo.

Según Cato CTRL, esta vulnerabilidad afecta a todas las versiones de MongoDB donde la compresión está habilitada (v3.4+, activada por defecto desde la v3.6), incluyendo MongoDB Atlas.

 Además, los datos de Shodan indican que más de 207.000 instancias de MongoDB están actualmente expuestas en internet y en riesgo.

Mecanismo de ataque e impacto

La vulnerabilidad existe en el mecanismo de compresión del protocolo wire de MongoDB, conocido como OP_COMPRESSED.

Según Cato CTRL, cuando el servidor recibe un mensaje comprimido, asigna memoria basándose en el valor uncompressedSize controlado por el atacante antes de verificar el tamaño real descomprimido.

Un atacante puede enviar un paquete zlib comprimido de solo 47KB mientras afirma que el tamaño descomprimido es de 48MB.

SentinelOne señala que el servidor asigna ciegamente 48MB por conexión, lo que resulta en una relación de amplificación de memoria de 1.027:1.

Al abrir múltiples conexiones concurrentes, el atacante agota rápidamente la RAM del servidor, provocando un cierre por falta de memoria (OOM) del kernel con el código de salida 137.

La eficiencia de este ataque de Denegación de Servicio (DoS) es grave. Las pruebas de Cato CTRL demostraron que un servidor de 512MB se bloquea en aproximadamente dos segundos con solo 10 conexiones enviando 457KB de datos.

Una instancia de 1GB cae con 25 conexiones en tres segundos. Incluso una base de datos empresarial robusta de 64GB puede ser desconectada en menos de un minuto utilizando aproximadamente 1.363 conexiones y solo 64MB de tráfico desde una conexión doméstica estándar.

Los defensores de la red deben monitorear altos volúmenes de conexiones TCP al puerto 27017 desde una sola fuente, y conexiones rápidas que permanecen inactivas.

Debes estar atento a paquetes OP_COMPRESSED de menos de 100KB que afirmen un tamaño descomprimido superior a 10MB. Los indicadores del sistema incluyen picos rápidos de memoria en MongoDB y eventos del OOM killer dirigidos al proceso mongod en los registros del sistema.

Para mitigar esta amenaza, los administradores deben actualizar inmediatamente a las versiones parcheadas de MongoDB: 8.2.4, 8.0.18 o 7.0.29.

Si no es posible actualizar de inmediato, Cato CTRL recomienda deshabilitar la compresión por completo usando --networkMessageCompressors=disabled.

Además, las organizaciones deben restringir el acceso a la red de la base de datos a redes confiables mediante firewalls, implementar límites de conexión usando maxIncomingConnections y evitar permitir el acceso público a la red (0.0.0.0/0) en los clústeres de MongoDB Atlas.