PostgreSQL CVE-2026-6460: потребители на базата данни, които могат да създават обекти, могат да изпълняват код на сървъра

Какво се случи

На 12 ноември 2026 г. PostgreSQL Global Development Group публикува PostgreSQL 18.7, 17.12, 16.16, 15.20 и 14.25. Според The Hacker News тези версии отстраняват 52 уязвимости в сигурността. Най-сериозната е CVE-2026-6460 (CVSS 8.8), грешка тип type confusion в ядрото на сървъра.

Потребител на базата данни, който може да създава обекти, може да използва ALTER ... SET DATA TYPE, за да накара сървъра да прочете остаряла стойност така, сякаш тя има нов тип. Други DDL изрази могат да направят същото, например ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Това позволява на потребителя да изпълнява произволен код с правата на потребителя на операционната система, под който работи PostgreSQL. Корекцията добавя проверки на версиите, така че сървърът да може да открива стойности, които вече не съвпадат с типа си.

Изследователят в областта на сигурността Mehmet Ince публикува техническо описание с работещ експлойт, който е демонстрирал на PostgreSQL 18.6. Описанието включва SQL командите, които срриват непоправен сървър, и стъпка, която изтича адреси на паметта. То не включва последната стъпка, която изпълнява команда. Той написа, че е успял да предизвика срива с роля за вход с най-ниски привилегии. Източниците не уточняват дали акаунт само с привилегиите по подразбиране може да стигне по-далеч и да изпълни код. Red Hat посочва, че нападателят се нуждае от вход в базата данни, който може да създава или променя обекти.

Проектът PostgreSQL не е съобщил за атаки, използващи уязвимостта, а CISA не я води като експлоатирана.

Същите версии отстраняват и други уязвимости, включително CVE-2026-116322, която позволява на неудостоверен клиент да принуди сървърите PostgreSQL 18 да се рестартират. Освен това са отстранени уязвимости в клиентските инструменти: специално изготвен архив може да накара pg_restore да изпълни код от името на потребителя, който го стартира, а компрометиран изходен сървър може да накара psql да изпълни код чрез скрипта за възстановяване в tar изхода на pg_dump.

Кой е засегнат

• PostgreSQL 18 преди 18.7, 17 преди 17.12, 16 преди 16.16, 15 преди 15.20 и 14 преди 14.25.
• По-стари основни версии също са засегнати и няма да получат актуализация. PostgreSQL 14 вече е в края на жизнения си цикъл, а 14.25 е последната ѝ версия.
• Рискът е най-голям на сървърите, където хора, на които не се доверявате напълно, имат вход в базата данни, който може да създава или променя обекти. Това включва споделен хостинг, бази данни, предоставени на клиенти, и уеб приложения, чийто акаунт за базата данни притежава схемата им. Ако нападател поеме контрол над такова приложение, например чрез SQL инжекция, той може да използва акаунта му за базата данни по този начин.
• Управлявани услуги: изследователят е споделил доказателствени примери (proofs of concept) с AWS (RDS, Aurora), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks и Ubicloud. Текущият статус на корекциите им не е известен. Проверете съобщенията на Вашия доставчик.
• Сървърите, на които не работи PostgreSQL, не са засегнати. MySQL и MariaDB не са засегнати.

Какво да направите сега

1. Създайте резервно копие на конфигурацията на PostgreSQL (например postgresql.conf и pg_hba.conf) и се уверете, че разполагате с актуално резервно копие на базата данни.
2. Актуализирайте сървъра до коригираната версия за Вашата основна версия: 18.7, 17.12, 16.16, 15.20 или 14.25. Ако използвате пакети от Вашата дистрибуция (Debian, Ubuntu, RHEL и производни), инсталирайте коригираните пакети, посочени в съветника на дистрибуцията, веднага щом са налични. След това използвайте мениджъра на пакети по обичайния начин (apt update && apt upgrade или dnf upgrade).
3. Актуализирайте или прекомпилирайте всяко C разширение едновременно със сървъра. Поддръжниците на RPM пакетите на проекта предупреждават, че разширения, компилирани за по-стари версии, все още се зареждат, но може да не са защитени. Някои разширения също изискват промени в изходния код. Пакетите с разширения в PostgreSQL RPM хранилищата вече изискват новата минорна версия.
4. Рестартирайте PostgreSQL. Ако работи извън собствения си системен модул на пакета, например под Patroni, рестартирайте го ръчно веднага след актуализацията.
5. Следвайте стъпките за реиндексиране, описани в официалното съобщение за версията. Ако използвате инкрементални резервни копия, направете ново пълно резервно копие и базирайте бъдещите инкрементални копия на него.
6. Актуализирайте клиентските инструменти като pg_dump, pg_restore, psql, reindexdb и vacuumdb на всяка машина, която ги използва, включително сървърите за резервни копия и администраторските работни станции.
7. Не използвайте новата настройка composite_type_mismatch, за да изключите новите проверки. Проектът посочва, че това носи рискове за сигурността.
8. Ако не можете да актуализирате незабавно, имайте предвид, че проектът не предлага заобиколно решение. Докато не можете да актуализирате, прегледайте кои акаунти могат да създават или променят обекти, особено акаунтите, използвани от уеб приложения или предоставени на клиенти, и се уверете, че PostgreSQL не е достъпен от интернет, освен ако не е необходимо.
9. Ако все още използвате PostgreSQL 14 или по-стара версия, планирайте надграждане до поддържана основна версия.

Как да проверите дали сте засегнати

• Проверете версията на работещия сървър с psql -c 'SELECT version();' или SHOW server_version;. Версии под 18.7, 17.12, 16.16, 15.20 или 14.25 в рамките на съответната основна серия са засегнати.
• Проверете инсталираните двоични файлове и пакети с postgres -V, dpkg -l | grep postgresql или rpm -qa | grep postgresql. Рестартирайте сървъра, ако работещата версия е по-стара от инсталираната.
• Изброете инсталираните разширения с SELECT extname, extversion FROM pg_extension; във всяка база данни. Уверете се, че всяко C разширение е актуализирано или прекомпилирано за новата версия.
• Проверете журналите на PostgreSQL за неочаквани срivове на backend процеси, например процеси на сървъра, прекратени със сигнал. Публикуваният експлойт срива непоправените сървъри, затова такива срivове заслужават по-внимателно разглеждане.

Източници

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/