Il 23 ottobre 2026 il CSIRT Italia, il servizio dell’Agenzia per la cybersicurezza nazionale, ha pubblicato l’alert AL03/261023/CSIRT-ITA su undici vulnerabilità del MongoDB C# Driver, la libreria che permette alle applicazioni scritte in C# di dialogare con il database MongoDB. Secondo l’alert, il vendor le ha già corrette e sono disponibili proof of concept, cioè dimostrazioni pratiche di come sfruttare i difetti. L’alert indica un impatto sistemico critico, con valore 77.17.
Chi è coinvolto
Il prodotto interessato è uno solo, nelle versioni indicate dall’alert:
- MongoDB C# Driver, dalla versione 2.0.0 alla versione 3.12.0.
Riguarda quindi le applicazioni che usano il driver in queste versioni. Nella tabella dell’alert non risultano sfruttamenti in corso per nessuna delle undici CVE (i codici che identificano le singole vulnerabilità).
Che rischio c’è
Le undici vulnerabilità hanno punteggi CVSS (la scala che misura la gravità da 0 a 10) tra 5.3 e 8.2. Secondo l’alert, possono permettere di leggere informazioni sensibili, manipolare dati, rendere indisponibile il servizio o impersonare soggetti legittimi.
Il caso con il punteggio più alto è la CVE-2026-114644, con CVSS v4.0 pari a 8.2. Il driver conserva in memoria, senza limiti, i simboli dei dati BSON o JSON che elabora (BSON è il formato binario usato da MongoDB). Un attaccante remoto non autenticato potrebbe inviarne moltissimi e far esaurire la memoria del processo, rendendo l’applicazione indisponibile.
Altre falle riguardano la manipolazione dei dati. La CVE-2026-114649, con CVSS v4.0 pari a 7.6, deriva da un confronto dei certificati X.509 basato solo su emittente e numero seriale. Chi esegue codice nello stesso processo di un altro utente potrebbe usare un certificato con gli stessi valori e operare sul database con l’identità e i privilegi di quell’utente.
La CVE-2026-114648, con CVSS v4.0 pari a 7.2, nasce dalla mancata neutralizzazione dei caratteri . e $ nei nomi di campo gestiti dal provider LINQ3. Chiavi costruite ad hoc potrebbero spostare il percorso di filtri o aggiornamenti e modificare dati diversi da quelli previsti dall’applicazione.
Due vulnerabilità toccano la cifratura lato client (CSFLE). La CVE-2026-114653, con CVSS v4.0 pari a 7.1, e la CVE-2026-114650, con CVSS v4.0 pari a 6.9, potrebbero far memorizzare in chiaro dati che dovrebbero essere cifrati, senza generare errori.
Le restanti sette riguardano, tra l’altro, la lettura di aree di memoria usate in precedenza, la corruzione di dati binari e di campi GeoJSON, l’alterazione di elementi di array e l’uso di operatori come $set o $unset nei metodi FindOneAndReplace e FindOneAndReplaceAsync.
Cosa fare
In linea con le dichiarazioni del vendor, il CSIRT Italia raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza indicato nella sezione Riferimenti dell’alert. Tra i riferimenti c’è la versione 3.13.0 del driver su GitHub, oltre agli avvisi di sicurezza dedicati alle singole vulnerabilità.
Come ulteriori accorgimenti di buon senso, conviene verificare quale versione del driver è usata nelle proprie applicazioni e avvisare il fornitore IT, se lo sviluppo è affidato a terzi, in modo che l’aggiornamento sia pianificato.
Fonte: alert AL03/261023/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 23 ottobre 2026 (impatto sistemico critico). Leggi l’alert originale.
