米国CISA（Cybersecurity and Infrastructure Security Agency）は2025年12月29日、MongoDB Serverの脆弱性（CVE-2025-14847）を「Known Exploited Vulnerabilities（KEV）カタログ」に追加しました。
概要
CVE-2025-14847は、MongoDBの通信圧縮（zlib）まわりの不整合により、未認証の攻撃者がネットワーク越しにサーバープロセスのメモリ内容を断片的に読み出せる可能性がある問題です。
資格情報やトークン、APIキー、設定断片などがメモリ上に残っていると、情報漏えいにつながり得ます。侵入の起点が「ログイン不要」になり得る点が、運用側にとって最も厄介です。
CISAが示したポイント
CISAは、KEVに追加した脆弱性について「攻撃者が頻繁に利用する入口になりやすく、組織に大きなリスクを与える」といった趣旨で注意喚起しています。
米国連邦機関（FCEB）向けには、BOD 22-01に基づく対応期限が設定されており、CVE-2025-14847は2026年1月19日までの修正が求められます。
影響を受けるバージョン
報告されている影響範囲は広く、系列ごとにみると次の通りです。
-
MongoDB 8.2系：8.2.0〜8.2.2
-
MongoDB 8.0系：8.0.0〜8.0.16
-
MongoDB 7.0系：7.0.0〜7.0.27
-
MongoDB 6.0系：6.0.0〜6.0.26
-
MongoDB 5.0系：5.0.0〜5.0.31
-
MongoDB 4.4系：4.4.0〜4.4.29
-
MongoDB 4.2系：4.2.0以降（修正提供なしの扱い）
-
MongoDB 4.0系：4.0.0以降（修正提供なしの扱い）
-
MongoDB 3.6系：3.6.0以降（修正提供なしの扱い）
ポイントは「古い系統（3.6/4.0/4.2）も広く射程に入る」ことです。EOL環境が残っている組織ほど、現実的に“置き去りになりやすい”脆弱性です。
対策バージョン（修正済みバージョン）
恒久対策はアップグレードです。修正済みとして示されている版は次の通りです。
-
MongoDB 8.2系：8.2.3
-
MongoDB 8.0系：8.0.17
-
MongoDB 7.0系：7.0.28
-
MongoDB 6.0系：6.0.27
-
MongoDB 5.0系：5.0.32
-
MongoDB 4.4系：4.4.30
※マネージドサービス利用時は、事業者側で順次吸収されるケースがあります。ただし「自分の環境が既に当たっているか」は契約形態と構成次第なので、運用者側でバージョンと設定の棚卸しが必要です
関連記事
MongoDBで重大な脆弱性（CVE-2025-14847）、早急な更新を推奨
MongoDBの未認証メモリ漏えい「CVE-2025-14847」 Po C公開でサイバー攻撃への悪用が現実化
MongoDB、複数のDoS・認証バイパス 脆弱性の修正パッチを公開
Tableau Server/Desktopに複数の深刻な脆弱性-CVE-2025-26496など修正済み
MongoDBに深刻なDoS脆弱性(CVE-2025-6709)
n8nに認証済みユーザーからRCEを許す脆弱性(CVE-2025-68613)
Jenkins、複数プラグインの深刻な脆弱性を修正(CVE-2025-47889,CVE-2025-47884,CVE-2025-47885)
OpenSSLが3件の脆弱性を同時公開(CVE-2025-9230 / -9231 / -9232)
WordPressの「Post SMTP」プラグインに深刻なアカウント乗っ取りの脆弱性、40万サイト以上に影響（CVE-2025-24000）
