# MongoDB CVE-2026-118383 CVSS 9.5: ช่องโหว่ replica set ไม่ต้องล็อกอิน แก้พร้อมอีก 25 CVE

> MongoDB ประกาศแก้ 26 CVE เมื่อ 10 พ.ย. 2026 รวม MongoDB CVE-2026-118383 CVSS 9.5 use-after-free ใน replica set ไม่ต้องล็อกอิน ให้อัปเดตเป็น 9.0.7 หรือ 8.0.37

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-11-14T17:40:00.000Z · อัปเดต: 2026-11-14T17:40:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/mongodb-cve-2026-118383-pre-auth-use-after-free/

## สรุปประเด็นสำคัญ

- **10 พฤศจิกายน 2026** MongoDB เผยแพร่ประกาศความปลอดภัย **26 CVE** ในรอบเดียว โดย **MongoDB CVE-2026-118383** ได้คะแนน **CVSS 9.5 (Critical)** จาก MongoDB ในฐานะ CNA
- ช่องโหว่คือ use-after-free ในส่วน replication ตอนที่ primary ที่เพิ่งได้รับเลือกทำ catch-up เสร็จ คำขอที่ไม่ต้องยืนยันตัวตนทำให้เซิร์ฟเวอร์หยุดทำงาน และในบางเงื่อนไขอาจรันโค้ดได้ ส่วน standalone mongod ไม่ได้รับผลกระทบ
- กระทบ **7 สาย** ที่ยังได้รับการแก้ไข ได้แก่ 9.0 ก่อน 9.0.7, 8.3 ก่อน 8.3.16, 8.0 ก่อน 8.0.37, 7.0 ก่อน 7.0.48, 6.0 ก่อน 6.0.30, 5.0 ก่อน 5.0.35 และ 4.4 ก่อน 4.4.32
- ในประกาศรอบเดียวกันมีเพียง **2 รายการ** ที่ได้คะแนนตั้งแต่ 9 ขึ้นไป คือ CVE-2026-118383 (9.5) และ CVE-2026-120808 (9.1) กับอีก **16 รายการ** ระหว่าง 7.0 ถึง 8.9

MongoDB ประกาศแก้ 26 CVE เมื่อ 10 พฤศจิกายน 2026 รวมถึง MongoDB CVE-2026-118383 ช่องโหว่ use-after-free ใน replica set ที่ได้คะแนน CVSS 9.5 และเกิดได้จากคำขอที่ไม่ต้องล็อกอิน ผู้ดูแลต้องอัปเดตเป็น 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35 หรือ 4.4.32 ตามสายที่ใช้

## MongoDB CVE-2026-118383 เกิดจากอะไรและใครเสี่ยง

คำอธิบายใน NVD ซึ่งมาจาก MongoDB ระบุว่าเกิด use-after-free ในส่วน replication ของ MongoDB Server เมื่อ primary ที่เพิ่งได้รับเลือกทำ catch-up เสร็จ เงื่อนไขนี้เกิดได้จากคำขอที่ไม่ต้องยืนยันตัวตน ผลคือเซิร์ฟเวอร์อาจหยุดทำงานโดยไม่คาดคิด และภายใต้เงื่อนไขบางอย่างอาจรันโค้ดตามใจในบริบทของโปรเซสเซิร์ฟเวอร์

![หน้า NVD ของ MongoDB CVE-2026-118383 แสดงคำอธิบายและคะแนน CVSS 9.5 จาก MongoDB](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/mongodb-cve-2026-118383-pre-auth-use-after-free/nvd-cve-2026-118383.webp?v=c17dcb5d) _(ภาพ: NIST National Vulnerability Database (ภาพหน้าจอ))_

ผู้ที่เสี่ยงคือสมาชิกของ replica set ซึ่งรวมถึงสมาชิก shard และ config server ของคลัสเตอร์ที่แบ่ง shard ส่วน mongod แบบ standalone ไม่ได้รับผลกระทบตามคำอธิบายของ CVE ดังนั้นองค์กรที่รัน MongoDB แบบ replica set เพื่อความพร้อมใช้งาน จึงเป็นกลุ่มที่เสี่ยงต่อ MongoDB CVE-2026-118383

## รุ่นที่ได้รับผลกระทบและรุ่นแก้

| สายรุ่น | ได้รับผลกระทบ | อัปเดตเป็น |
| --- | --- | --- |
| 9.0 | ก่อน 9.0.7 | 9.0.7 ขึ้นไป |
| 8.3 | ก่อน 8.3.16 | 8.3.16 ขึ้นไป |
| 8.0 | ก่อน 8.0.37 | 8.0.37 ขึ้นไป |
| 7.0 | ก่อน 7.0.48 | 7.0.48 ขึ้นไป |
| 6.0 | ก่อน 6.0.30 | 6.0.30 ขึ้นไป |
| 5.0 | ก่อน 5.0.35 | 5.0.35 ขึ้นไป |
| 4.4 | ก่อน 4.4.32 | 4.4.32 ขึ้นไป |

คะแนนของ MongoDB CVE-2026-118383 คือ CVSS 4.0 Base 9.5 (Critical) ตามที่ MongoDB ให้ในฐานะ CNA เวกเตอร์ระบุว่าโจมตีผ่านเครือข่าย ไม่ต้องมีสิทธิ์ ไม่ต้องให้ผู้ใช้ทำอะไร แต่ความซับซ้อนในการโจมตีสูง (AC:H) ส่วน NVD ยังไม่ประเมินคะแนนของตัวเองและแสดงสถานะ "Awaiting Enrichment" รายการนี้ยังไม่อยู่ใน KEV ของ CISA ตามที่ตรวจเมื่อ 15 พฤศจิกายน 2026

![หน้าประกาศความปลอดภัย (Security Bulletins) ของ MongoDB ที่รวมรายการ CVE ประจำเดือนพฤศจิกายน 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/mongodb-cve-2026-118383-pre-auth-use-after-free/mongodb-security-bulletins.webp?v=3ac3cb26) _(ภาพ: MongoDB (ภาพหน้าจอ))_

## อีก 25 รายการในประกาศวันที่ 10 พฤศจิกายน

หน้าประกาศของ MongoDB มี 26 รายการที่ลงวันที่ 10 พฤศจิกายน 2026 แบ่งตามคะแนนที่หน้าประกาศแสดงได้ว่า 2 รายการได้ 9.0 ขึ้นไป 16 รายการได้ 7.0 ถึง 8.9 และ 8 รายการต่ำกว่า 7.0 รายการที่เด่นนอกจาก MongoDB CVE-2026-118383 ได้แก่

| CVE | คะแนน | หัวข้อตามประกาศ |
| --- | --- | --- |
| CVE-2026-120808 | 9.1 | ข้ามการตรวจใบรับรองจากการข้ามผลความน่าเชื่อถือกับ IPv6 ในไคลเอนต์ TLS บน macOS |
| CVE-2026-120815 | 8.6 | ตรวจสิทธิ์ผิดใน localhost exception ทำให้เข้าถึงการจัดการได้โดยไม่ได้รับอนุญาต |
| CVE-2026-120822 | 8.6 | ขาดการตรวจสิทธิ์ในคำสั่งผู้ดูแลที่เกี่ยวกับ replication |
| CVE-2026-120824 | 8.7 | use-after-free หลังยืนยันตัวตนในการตรวจ time-series bucket |
| CVE-2026-120828 | 8.7 | หน่วยความจำหมดจากตัวรอ read-concern ที่ถูกทิ้งในโหมด disaggregated storage |

ข้อมูลทั้งหมดมาจากหน้าประกาศของ MongoDB ซึ่งแสดงรุ่นที่ได้รับผลกระทบแตกต่างกันในแต่ละ CVE เช่น CVE-2026-120808 ระบุสาย 9.0, 8.3, 8.0 และ 7.0 ผู้ดูแลจึงควรเปิดรายการของแต่ละ CVE เทียบกับรุ่นที่ใช้ ไม่ใช่ดูเฉพาะ MongoDB CVE-2026-118383

## สิ่งที่ควรทำกับ MongoDB CVE-2026-118383

1. **ตรวจรูปแบบการติดตั้ง** ว่าเป็น standalone หรือ replica set รวมถึง shard และ config server ถ้าเป็น replica set ให้ถือว่าได้รับผลกระทบจนกว่าจะอัปเดต
2. **ตรวจรุ่น** ด้วย db.version() บนทุกสมาชิก แล้วเทียบกับตารางด้านบน
3. **วางแผนอัปเดตแบบ rolling** ทีละสมาชิกเพื่อให้คลัสเตอร์ยังรับงานได้ และทดสอบการ failover หลังอัปเดต เพราะช่องโหว่เกิดจากสถานะหลัง primary ใหม่ทำ catch-up
4. **จำกัดเครือข่าย** ไม่เปิดพอร์ตของ mongod สู่อินเทอร์เน็ต ให้เข้าถึงได้เฉพาะแอปและสมาชิกของคลัสเตอร์ผ่านไฟร์วอลล์หรือเครือข่ายส่วนตัว ซึ่งลดโอกาสที่คำขอไม่ต้องยืนยันตัวตนจะมาถึงเซิร์ฟเวอร์
5. **เฝ้าดูการรีสตาร์ตผิดปกติ** ของ mongod ในบันทึกระบบ โดยเฉพาะหลังเหตุ failover เพราะผลที่ MongoDB ระบุคือเซิร์ฟเวอร์หยุดทำงาน
6. **ติดตามประกาศ** ของ MongoDB และรายการ KEV ของ CISA ว่ามีการยืนยันการโจมตีจริงหรือไม่

![สำนักงานของ MongoDB ที่เมือง Palo Alto รัฐแคลิฟอร์เนีย](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/mongodb-cve-2026-118383-pre-auth-use-after-free/mongodb-palo-alto-office.webp?v=f7b2e0ef) _(ภาพ: BrokenSegue / Wikimedia Commons (CC BY-SA 4.0))_

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

ฐานข้อมูลแบบ replica set ที่ไม่มีทีมดูแลประจำมักถูกปล่อยให้อยู่รุ่นเดิมนานหลายเดือน แม้มีรุ่นแก้ออกแล้ว [IT Support](https://thaidata.cloud/it-support/) ของ THAI DATA CLOUD ดูแลเซิร์ฟเวอร์และเครือข่ายขององค์กร แจ้งผ่าน Ticket ที่ตรวจสอบได้ และมีทีมไทยดูแล 24x7 ช่วยให้องค์กรที่ไม่มีทีมไอทีเต็มเวลารู้ว่าฐานข้อมูลใดต้องอัปเดตและวางจังหวะอัปเดตได้ (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าวความปลอดภัยไซเบอร์อื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### MongoDB CVE-2026-118383 คืออะไร?

MongoDB CVE-2026-118383 คือช่องโหว่ use-after-free ในส่วน replication ของ MongoDB Server เกิดเมื่อ primary ใหม่ใน replica set ทำ catch-up เสร็จ คำขอที่ไม่ต้องยืนยันตัวตนทำให้เซิร์ฟเวอร์หยุดทำงาน และบางเงื่อนไขอาจรันโค้ดในบริบทของเซิร์ฟเวอร์

### MongoDB CVE-2026-118383 กระทบรุ่นไหน และแก้ด้วยรุ่นอะไร?

กระทบ MongoDB Server 9.0 ก่อน 9.0.7, 8.3 ก่อน 8.3.16, 8.0 ก่อน 8.0.37, 7.0 ก่อน 7.0.48, 6.0 ก่อน 6.0.30, 5.0 ก่อน 5.0.35 และ 4.4 ก่อน 4.4.32 ผู้ดูแลต้องอัปเดตเป็นรุ่นแก้ของสายที่ใช้อยู่ ตามบัญชีรุ่นในประกาศและ NVD

### MongoDB แบบ standalone เสี่ยง MongoDB CVE-2026-118383 หรือไม่?

ไม่ ตามคำอธิบายของ CVE ช่องโหว่กระทบสมาชิกของ replica set รวมถึงสมาชิก shard และ config server ของคลัสเตอร์ที่แบ่ง shard แต่ไม่กระทบ mongod แบบ standalone อย่างไรก็ตามประกาศรอบเดียวกันมี CVE อื่นที่กระทบทั้งสาย จึงควรอัปเดตอยู่ดี

### MongoDB CVE-2026-118383 ถูกโจมตีจริงแล้วหรือไม่?

ประกาศของ MongoDB และ NVD ไม่ได้ระบุว่ามีการโจมตีจริง และ CVE นี้ยังไม่อยู่ในรายการ KEV ของ CISA ตามรายการที่ตรวจเมื่อ 15 พฤศจิกายน 2026 NVD ยังอยู่ในสถานะรอประเมินเพิ่มเติม และคะแนน 9.5 มาจาก MongoDB เอง


## แหล่งอ้างอิง

- [MongoDB Security Bulletins](https://www.mongodb.com/resources/products/mongodb-security-bulletins) — MongoDB, Inc.
- [CVE-2026-118383 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-118383) — NIST National Vulnerability Database
- [Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA