- Plusieurs vulnérabilités ont été identifiées dans MongoDB, la base de données utilisée par de nombreuses applications web et métier.
- Selon le CERT-FR, certaines failles pourraient permettre à un attaquant d’accéder à vos données, de les modifier, ou d’exécuter des actions non autorisées via une technique dite de CSRF (injection de requêtes illégitimes par rebond).
- Une mise à jour de MongoDB est à vérifier et à appliquer sans attendre.
Ce qui se passe
Le CERT-FR a publié le 7 septembre 2026 un avis signalant plusieurs vulnérabilités dans MongoDB. Ce logiciel est une base de données très répandue, y compris dans des outils utilisés par les PME : applications de gestion, sites e-commerce, outils SaaS développés sur mesure, etc.
Les failles identifiées sont de trois natures :
- Atteinte à la confidentialité des données : un attaquant pourrait accéder à des informations qu’il ne devrait pas pouvoir lire.
- Atteinte à l’intégrité des données : des données stockées dans la base pourraient être modifiées de manière non autorisée.
- Injection de requêtes illégitimes par rebond (CSRF) : un attaquant pourrait, en trompant un utilisateur légitime, lui faire exécuter des actions à son insu sur l’application.
Beaucoup de PME pensent ne pas utiliser MongoDB parce qu’elles n’ont pas installé elles-mêmes de base de données. Pourtant, MongoDB peut être embarqué dans des outils tiers, des applications développées par un prestataire ou des plateformes SaaS hébergées en interne. Si vous avez un doute, posez la question à votre prestataire informatique ou développeur.
Si MongoDB est utilisé dans votre environnement, vérifiez auprès de votre prestataire ou de votre équipe technique qu’une version corrigée est bien disponible et planifiez son déploiement rapidement. Ne laissez pas une base de données exposée en attente de correctif, surtout si elle contient des données clients ou financières.
Ce qu’il faut faire concrètement
Commencez par identifier si MongoDB est utilisé dans votre infrastructure ou dans vos outils (demandez à votre prestataire si vous n’êtes pas sûr). Si c’est le cas, consultez l’avis officiel du CERT-FR pour connaître les versions concernées et appliquez les mises à jour disponibles dès que possible. En cas d’hébergement chez un tiers, signalez-lui cet avis et demandez-lui confirmation que les correctifs sont pris en charge. Source : CERT-FR – CERTFR-2026-AVI-1123.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.