Progress Software hat am 12. Oktober 2026 31 Schwachstellen in MarkLogic Server offengelegt, darunter fünf kritische Schwachstellen, die dauerhafte administrative Kontrolle, erweiterte Codeausführung auf dem Server oder einen Zugriff über den zugewiesenen Bereich eines delegierten Administrators hinaus ermöglichen können.
Betroffen sind MarkLogic 11.x vor 11.3.7 und 12.x vor 12.1.0. Kunden sollten auf 11.3.7 oder 12.1.0 aktualisieren; für den 12.0-Zweig gibt es kein gepatchtes Release. Laut The Hacker News stellte Progress die Korrekturen am 10. September bereit und stufte fünf Schwachstellen als kritisch, 24 als hoch und zwei als mittel ein.
Die Sicherheitsreleases vom August, 11.3.6 und 12.0.3, bleiben für diese neu offengelegte Gruppe von Schwachstellen anfällig.
Fünf kritische Schwachstellen überschreiten Berechtigungsgrenzen
Die schwerwiegendsten Probleme setzen unterschiedliche Stufen bereits bestehenden Zugriffs voraus. Mehrere davon machen jedoch aus eng delegierten Berechtigungen eine Kontrolle über die gesamte MarkLogic-Umgebung.
| Schwachstelle | CVSS | Erforderliche Position oder Zugriff | Mögliche Folge |
|---|---|---|---|
| CVE-2026-85947 | 9.9 | Berechtigungen zur Verwaltung von Forests | Anlegen eines dauerhaften, nicht autorisierten Administratorkontos |
| CVE-2026-85948 | 9.9 | Berechtigungen auf Manage-User-Ebene | Dauerhafte administrative Kontrolle durch XQuery-Injection über einen veralteten Pfad des Management-API-Pakets |
| CVE-2026-85955 | 9.9 | Abfrage-Zugriff und die entsprechende Auswertungsfähigkeit | Codeausführung auf dem Server mit erhöhten Berechtigungen |
| CVE-2026-85956 | 9.6 | Delegierte Berechtigungen als Datenbankadministrator | Sicherung oder Wiederherstellung von Forests außerhalb des autorisierten Datenbankbereichs |
| CVE-2026-9191 | 9.6 | Möglichkeit, Code über betroffene REST- oder XDBC-Pfade auszuführen | Nicht autorisierte Aktionen oder Kompromittierung einer authentifizierten Sitzung |
Der Eintrag des CVE-Programms zu CVE-2026-85947 ordnet das Problem als unzureichende Verwaltung von Berechtigungen gemäß CWE-269 ein. Ein entferntes Konto mit Rechten zur Verwaltung von Forests kann betroffene Forest-Operationen missbrauchen, um ein dauerhaftes Administratorkonto einzurichten, was unter Umständen zu vollständiger administrativer Kontrolle führen kann. Der CVSS-3.1-Vektor lautet CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.
Laut Eintrag wird rexnets über Bugcrowd als Melder von CVE-2026-85947 genannt. Dieselbe Person wird in den Meldungen auch für CVE-2026-85948 und CVE-2026-85956 angeführt, während WaltWhitehat als Melder von CVE-2026-9191 genannt wird.
Eine weitere Schwachstelle mit hohem Schweregrad, CVE-2026-85954, hat einen CVSS-Wert von 8.6. Dabei werden vom Benutzer gelieferte Werte, die an bestimmte XQuery-Funktionen höherer Ordnung übergeben werden, in einem erhöhten Sicherheitskontext ausgewertet. Dadurch können Berechtigungen über die dem Angreifer zugewiesenen hinausgehen.
Risiken bei Authentifizierung, Cloud und Logging hängen von der Konfiguration ab
Mehrere andere Schwachstellen werden nur dort relevant, wo bestimmte Authentifizierungsverfahren, Cloud-Plattformen oder ältere Komponenten eingesetzt werden.
In SAML-Umgebungen könnte CVE-2026-85962 es einem nicht authentifizierten Angreifer aus der Ferne ermöglichen, dass MarkLogic eine Assertion akzeptiert, die abgelehnt werden müsste. Auch MarkLogic 11.x vor 11.3.7 ist von CVE-2026-85957 betroffen: Der SAML-Parser kann dabei externe DTDs oder Entitäten verarbeiten, was unbeabsichtigten Netzwerkzugriff oder die Offenlegung von Informationen verursachen kann.
CVE-2026-85958 betrifft OAuth-Token, die der Server nicht akzeptieren sollte. Die Korrektur ergänzt die Prüfung von Aussteller und Zielgruppe für Ping Identity und andere OAuth-Konfigurationen. CVE-2026-85972 betrifft Kerberos-Setups mit Passwortauthentifizierung und kann einem Angreifer mit geeigneter Netzwerkposition ermöglichen, sich als Kerberos-Authentifizierungsdienst auszugeben.
Zu den cloudbezogenen Problemen gehören CVE-2026-85951 auf Azure und CVE-2026-85952 in Cloud-Umgebungen auf Linux-Basis. Dort könnte ein authentifizierter Angreifer interne Cloud-Dienste erreichen und Cloud-Zugangsdaten erlangen. Bei betroffenen Logging-Konfigurationen könnten CVE-2026-85949 sowie die Azure-spezifische CVE-2026-85961 sicherheitsrelevante Informationen in Diagnoseprotokollen offenlegen. Laut den gemeldeten Upgrade-Hinweisen wurden AWS-Secret-Keys und Session-Tokens im Klartext geschrieben, wenn der betroffene IAM-Tracing-Pfad aktiviert war.
Weitere Schwachstellen betreffen Query Console, die Anbindung an Amazon S3, Audit-Einträge und veraltete Komponenten. CVE-2026-85959 ist für die Reaktion auf Sicherheitsvorfälle besonders relevant, weil erfolgreiche Anmeldungen nicht immer im Audit-Log protokolliert wurden. Progress zufolge kann dies die Erkennung und Untersuchung unbefugter Zugriffe oder eines Missbrauchs von Zugangsdaten erschweren.
Das Upgrade verändert Sicherheitsverhalten und Kompatibilität
MarkLogic 11.3.7 ist das korrigierte Release der Long-Term-Support-Linie. Nutzer von MarkLogic 12 müssen auf 12.1.0 wechseln. Dabei handelt es sich nicht um ein reines Sicherheitsupdate für 12.0, sondern es enthält auch neue Funktionen und Verhaltensänderungen.
Administratoren sollten die folgenden dokumentierten Änderungen berücksichtigen:
- Ältere Versionen von MarkLogic Content Pump können mit den korrigierten Servern mit einem XDMP-ISOLATED-Fehler fehlschlagen. Progress empfiehlt mlcp 11.3.7 oder 12.1.0. Als Alternative können ältere Versionen mit
-restrict_hostsauftruegesetzt verwendet werden, was möglicherweise die Leistung beeinträchtigt. - Die API
/manage/v2/packages, InfoStudio und OpsDirector wurden entfernt. - Die Verarbeitung externer XML-Entitäten ist standardmäßig deaktiviert.
- Verbindungen zu Amazon S3 verwenden jetzt standardmäßig HTTPS.
- Neue oder rotierte Dateien ErrorLog.txt und AuditLog.txt verwenden den Modus 0640 statt 0666. Bestehende Dateien behalten ihre bisherigen Berechtigungen, bis sie rotiert oder neu erstellt werden.
xdmp:eval-in()erfordert jetzt sowohl xdmp-eval-in als auch xdmp-eval.- Berechtigungen zum Anhängen, Sichern und Wiederherstellen von Forests werden für jeden beteiligten Forest und jede beteiligte Datenbank geprüft.
- Das Lesen von Authorization-Headern erfordert eine neue Berechtigung, die keiner integrierten Rolle zugewiesen ist.
- MarkLogic 11.3.7 unterstützt Amazon Linux 2 nicht.
- Die Kerberos-Korrektur erfordert eine Keytab-Datei. Ohne sie protokolliert MarkLogic eine Warnung und überspringt die neue Prüfung.
Laut den gemeldeten Upgrade-Hinweisen von Progress sollten außerdem delegierte Berechtigungen für Forests und Datenbanken überprüft und Rollen, die xdmp-eval-in besitzen, kontrolliert werden. Kunden sollten Anwendungen auf Zugriffsänderungen testen: Die Korrektur für CVE-2026-85954 kann Berechtigungen entfernen, die Benutzer bisher hatten, weil dieser Zugriff fälschlicherweise gewährt wurde.
Patchen und anschließend auf dauerhaften Zugriff prüfen
Die zitierten CVE-Einträge und Upgrade-Hinweise geben nicht an, ob eine der 31 Schwachstellen ausgenutzt wurde. Zum Prüfzeitpunkt am 13. Oktober 2026 war keine davon im Katalog der bekannten ausgenutzten Schwachstellen (KEV) der CISA enthalten, sodass zu diesem Zeitpunkt keine KEV-Frist für die Behebung galt. Dieser Status verringert jedoch nicht die Auswirkungen der Pfade zur Rechteerweiterung in exponierten Umgebungen, in Umgebungen mit mehreren Nutzern oder mit delegierter Administration.
Die Berichterstattung nennt außerdem keinen Workaround für Organisationen, die nicht sofort aktualisieren können. Betreiber sollten 11.3.7 oder 12.1.0 priorisieren, Konten mit delegierten Berechtigungen für Forests, Datenbanken, Abfrageausführung und Verwaltung inventarisieren und Administratorkonten auf nicht autorisierte Ergänzungen prüfen.
Die verfügbaren Informationen belegen nicht, dass die Installation des Updates ein Administratorkonto entfernt, das zuvor über CVE-2026-85947 angelegt wurde. Besteht der Verdacht auf eine Kompromittierung, sollte das Patchen daher durch eine separate Überprüfung von Konten, Rollen, Zugangsdaten und relevanten Audit-Daten ergänzt werden.
