Progress Software a divulgué 31 vulnérabilités dans MarkLogic Server le 12 octobre 2026, dont cinq failles critiques pouvant permettre un contrôle administratif persistant, une exécution de code côté serveur avec privilèges élevés, ou un accès au-delà du périmètre attribué à un administrateur délégué.
Les versions concernées sont MarkLogic 11.x antérieures à 11.3.7 et 12.x antérieures à 12.1.0. Les clients doivent passer à 11.3.7 ou 12.1.0 ; aucune version corrigée n'existe sur la branche 12.0. Selon The Hacker News, Progress a rendu les correctifs disponibles le 10 septembre et attribué une note critique à cinq vulnérabilités, une note élevée à 24 et une note moyenne à deux.
Les versions de sécurité d'août, 11.3.6 et 12.0.3, restent vulnérables à ce groupe de failles récemment divulguées.
Cinq vulnérabilités critiques franchissent les limites des privilèges
Les problèmes les plus graves exigent différents niveaux d'accès préexistants, mais plusieurs transforment des permissions déléguées de façon étroite en contrôle de l'ensemble de l'environnement MarkLogic.
| Vulnérabilité | CVSS | Position ou accès requis | Conséquence possible |
|---|---|---|---|
| CVE-2026-85947 | 9,9 | Privilèges de gestion des forêts | Création d'un compte administrateur persistant et non autorisé |
| CVE-2026-85948 | 9,9 | Privilèges de niveau gestion des utilisateurs | Contrôle administratif persistant par injection XQuery dans un chemin de package de l'API de gestion déprécié |
| CVE-2026-85955 | 9,9 | Accès d'exécution de requêtes et capacité d'évaluation concernée | Exécution de code côté serveur avec permissions élevées |
| CVE-2026-85956 | 9,6 | Privilèges d'administrateur de base de données délégués | Sauvegarde ou restauration de forêts hors du périmètre de la base de données autorisée |
| CVE-2026-9191 | 9,6 | Capacité d'exécuter du code via les chemins REST ou XDBC concernés | Actions non autorisées ou compromission d'une session authentifiée |
La fiche du CVE Program pour CVE-2026-85947 classe le problème comme une gestion incorrecte des privilèges sous CWE-269. Un compte distant disposant de droits de gestion des forêts peut abuser des opérations concernées sur les forêts pour créer un compte administrateur persistant, pouvant aboutir à un contrôle administratif complet. Son vecteur CVSS 3.1 est CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.
La fiche attribue à rexnets, via Bugcrowd, le signalement de CVE-2026-85947. Ce même chercheur est aussi crédité, dans les signalements, pour CVE-2026-85948 et CVE-2026-85956, tandis que WaltWhitehat est crédité pour CVE-2026-9191.
Un problème distinct de gravité élevée, CVE-2026-85954, affiche un score CVSS de 8,6. Il concerne des valeurs fournies par l'utilisateur à certaines fonctions XQuery d'ordre supérieur, évaluées dans un contexte de sécurité élevé, ce qui permet aux privilèges de dépasser ceux attribués à l'attaquant.
Les risques liés à l'authentification, au cloud et à la journalisation dépendent de la configuration
Plusieurs autres vulnérabilités ne deviennent pertinentes que lorsque certaines méthodes d'authentification, plateformes cloud ou composants hérités sont utilisés.
Dans les déploiements SAML, CVE-2026-85962 pourrait permettre à un attaquant distant non authentifié de faire accepter par MarkLogic une assertion qui devrait être rejetée. MarkLogic 11.x antérieur à 11.3.7 est également concerné par CVE-2026-85957, dans lequel l'analyseur SAML peut traiter des DTD ou des entités externes, pouvant provoquer un accès réseau non voulu ou une divulgation d'informations.
CVE-2026-85958 concerne des jetons OAuth que le serveur ne devrait pas accepter. La correction ajoute la validation de l'émetteur et de l'audience pour Ping Identity et les autres configurations OAuth. CVE-2026-85972 touche les configurations Kerberos basées sur un mot de passe et peut permettre à un attaquant disposant d'une position réseau adéquate d'usurper le service d'authentification Kerberos.
Parmi les problèmes liés au cloud, on trouve CVE-2026-85951 sur Azure et CVE-2026-85952 sur les déploiements cloud sous Linux, où un attaquant authentifié pourrait atteindre des services cloud internes et obtenir des identifiants cloud. Avec les configurations de journalisation concernées, CVE-2026-85949 et CVE-2026-85961, propre à Azure, pourraient exposer des informations sensibles pour la sécurité dans les journaux de diagnostic. Selon les notes de mise à niveau, les clés secrètes AWS et les jetons de session étaient écrits en clair lorsque le chemin de traçage IAM concerné était activé.
D'autres failles touchent Query Console, la connectivité Amazon S3, les enregistrements d'audit et des composants dépréciés. CVE-2026-85959 est particulièrement pertinent pour la réponse aux incidents : les connexions réussies n'étaient pas toujours consignées dans le journal d'audit, ce qui, selon Progress, peut entraver la détection et l'analyse d'accès non autorisés ou d'un usage abusif d'identifiants.
La mise à niveau modifie le comportement de sécurité et la compatibilité
MarkLogic 11.3.7 est la version corrigée sur la branche à support long terme. Les utilisateurs de MarkLogic 12 doivent passer à 12.1.0, qui n'est pas une simple mise à jour de sécurité de la 12.0 et introduit aussi de nouvelles fonctionnalités et des changements de comportement.
Les administrateurs doivent tenir compte de ces changements documentés :
- Les anciennes versions de MarkLogic Content Pump peuvent échouer face aux serveurs corrigés avec une erreur XDMP-ISOLATED. Progress recommande mlcp 11.3.7 ou 12.1.0. En solution de remplacement, les anciennes versions peuvent utiliser
-restrict_hostsréglé surtrue, avec un coût possible en performances. - L'API
/manage/v2/packages, InfoStudio et OpsDirector ont été supprimés. - Le traitement des entités externes XML est désactivé par défaut.
- Les connexions Amazon S3 utilisent désormais HTTPS par défaut.
- Les fichiers ErrorLog.txt et AuditLog.txt nouvellement créés ou pivotés utilisent le mode 0640, en remplacement de 0666. Les fichiers existants conservent leurs anciennes permissions jusqu'à leur rotation ou leur recréation.
xdmp:eval-in()exige désormais à la fois xdmp-eval-in et xdmp-eval.- Les permissions de rattachement, de sauvegarde et de restauration de forêts sont vérifiées pour chaque forêt et chaque base de données concernées.
- La lecture des en-têtes Authorization exige un nouveau privilège qui n'est attribué à aucun rôle intégré.
- MarkLogic 11.3.7 ne prend pas en charge Amazon Linux 2.
- La correction Kerberos exige un fichier keytab. Sans celui-ci, MarkLogic consigne un avertissement et ignore la nouvelle vérification.
Les recommandations de mise à niveau de Progress demandent aussi de revoir les privilèges délégués sur les forêts et les bases de données, et d'auditer les rôles qui détiennent xdmp-eval-in. Les clients doivent tester leurs applications pour détecter les changements d'accès : la correction de CVE-2026-85954 peut retirer des privilèges que certains utilisateurs possédaient auparavant, car cet accès avait été accordé à tort.
Corriger, puis vérifier les accès persistants
Les fiches CVE citées et les notes de mise à niveau n'indiquent pas si l'une quelconque des 31 vulnérabilités a été exploitée. Aucune de ces vulnérabilités ne figurait dans le catalogue des vulnérabilités connues exploitées (KEV) de la CISA lors de la vérification du 13 octobre 2026 ; aucune échéance de correction KEV ne s'appliquait donc à ce moment-là. Ce statut ne réduit pas l'impact des chemins d'élévation de privilèges dans les environnements exposés, multi-utilisateurs ou à administration déléguée.
Le rapport ne signale aucun contournement pour les organisations qui ne peuvent pas mettre à niveau immédiatement. Les exploitants doivent donner la priorité à 11.3.7 ou 12.1.0, recenser les comptes disposant de droits délégués sur les forêts, les bases de données, l'exécution de requêtes et la gestion, et vérifier l'absence d'ajouts non autorisés dans les comptes administrateurs.
Les informations disponibles ne permettent pas d'établir que l'installation de la mise à jour supprime un compte administrateur créé auparavant via CVE-2026-85947. En cas de suspicion de compromission, l'application du correctif doit donc s'accompagner d'un examen distinct des comptes, des rôles, des identifiants et des données d'audit pertinentes.
