PostgreSQL CVE-2026-6460: uživatelé databáze, kteří mohou vytvářet objekty, mohou spouštět kód na serveru

Co se stalo

Dne 12. listopadu 2026 vydala skupina PostgreSQL Global Development Group verze PostgreSQL 18.7, 17.12, 16.16, 15.20 a 14.25. Podle serveru The Hacker News tato vydání opravují 52 bezpečnostních chyb. Nejzávažnější je CVE-2026-6460 (CVSS 8.8), chyba záměny typu v jádru serveru.

Databázový uživatel, který může vytvářet objekty, může použít ALTER ... SET DATA TYPE a donutit server číst zastaralou hodnotu, jako by měla nový typ. Stejného výsledku lze dosáhnout i jinými příkazy DDL, například ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Uživatel tak může spustit libovolný kód pod operačním systémovým uživatelem, pod kterým běží PostgreSQL. Oprava přidává kontroly verzí, aby server dokázal rozpoznat hodnoty, které již neodpovídají svému typu.

Bezpečnostní výzkumník Mehmet Ince zveřejnil technický popis s funkčním exploitem, který předvedl na PostgreSQL 18.6. Popis obsahuje SQL, které zhroutí neopravený server, a krok, který unikne adresy paměti. Neobsahuje závěrečný krok, který spustí příkaz. Uvedl, že dokázal vyvolat pád s přihlašovací rolí s nejnižšími oprávněními. Zdroje neuvádějí, zda účet pouze s výchozími oprávněními může postoupit dál a spustit kód. Red Hat uvádí, že útočník potřebuje databázové přihlášení, které může vytvářet nebo měnit objekty.

Projekt PostgreSQL neeviduje žádné útoky využívající tuto chybu a agentura CISA ji nemá jako zneužitou.

Tatáž vydání opravují i další chyby, včetně CVE-2026-116322, která umožňuje neautentizovanému klientovi vynutit restart serverů PostgreSQL 18. Opravují také chyby v klientských nástrojích: upravený archiv může přimět pg_restore spustit kód za uživatele, který jej spouští, a napadený zdrojový server může přimět psql spustit kód přes obnovovací skript v tar výstupu nástroje pg_dump.

Koho se to týká

• PostgreSQL 18 před verzí 18.7, 17 před verzí 17.12, 16 před verzí 16.16, 15 před verzí 15.20 a 14 před verzí 14.25.
• Starší hlavní verze jsou také zasaženy a aktualizaci nedostanou. PostgreSQL 14 je nyní ukončen a verze 14.25 je jeho poslední.
• Riziko je nejvyšší na serverech, kde mají přístup s možností vytvářet nebo měnit objekty lidé, kterým plně nedůvěřujete. Patří sem sdílený hosting, databáze předávané zákazníkům a webové aplikace, jejichž databázový účet vlastní jejich schéma. Pokud útočník takovou aplikaci ovládne, například přes SQL injection, může tímto způsobem zneužít její databázový účet.
• Spravované služby: výzkumník sdílel důkazy konceptu s AWS (RDS, Aurora), Microsoftem (Azure PostgreSQL), Googlem (AlloyDB), Supabase, Databricks a Ubicloud. Aktuální stav jejich oprav není znám. Zkontrolujte oznámení svého poskytovatele.
• Servery, na nichž neběží PostgreSQL, nejsou zasaženy. MySQL a MariaDB zasaženy nejsou.

Co udělat nyní

1. Zálohujte konfiguraci PostgreSQL (například postgresql.conf a pg_hba.conf) a ujistěte se, že máte aktuální zálohu databáze.
2. Aktualizujte server na opravenou verzi pro svou hlavní verzi: 18.7, 17.12, 16.16, 15.20 nebo 14.25. Pokud používáte balíčky z distribuce (Debian, Ubuntu, RHEL a jejich klony), nainstalujte opravené balíčky uvedené v bezpečnostním oznámení vaší distribuce, jakmile budou k dispozici. Poté použijte správce balíčků obvyklým způsobem (apt update && apt upgrade nebo dnf upgrade).
3. Aktualizujte nebo přesestavte každé rozšíření v jazyce C současně se serverem. Správci RPM balíčků projektu upozorňují, že rozšíření sestavená proti starším verzím se sice načtou, ale nemusí být chráněna. Některá rozšíření také vyžadují změny zdrojového kódu. Balíčky rozšíření v RPM repozitářích PostgreSQL nyní vyžadují novou menší verzi.
4. Restartujte PostgreSQL. Pokud běží mimo vlastní servisní jednotku balíčku, například pod Patroni, restartujte jej ručně hned po aktualizaci.
5. Postupujte podle kroků pro reindexaci uvedených v oficiálním oznámení vydání. Pokud používáte inkrementální zálohy, vytvořte novou úplnou zálohu a budoucí inkrementální zálohy zakládejte na ní.
6. Aktualizujte klientské nástroje, jako jsou pg_dump, pg_restore, psql, reindexdb a vacuumdb, na každém počítači, který je používá, včetně záložních serverů a administrátorských pracovních stanic.
7. Nepoužívejte nové nastavení composite_type_mismatch k vypnutí nových kontrol. Projekt uvádí, že to přináší bezpečnostní rizika.
8. Pokud nemůžete aktualizovat hned, mějte na paměti, že projekt nenabízí žádné dočasné řešení. Dokud nebudete moci aktualizovat, zkontrolujte, které účty mohou vytvářet nebo měnit objekty, zejména účty používané webovými aplikacemi nebo předávané zákazníkům, a ujistěte se, že PostgreSQL není dostupný z internetu, pokud to není nezbytné.
9. Pokud stále provozujete PostgreSQL 14 nebo starší verzi, naplánujte upgrade na podporovanou hlavní verzi.

Jak zjistit, zda jste zasaženi

• Zkontrolujte verzi běžícího serveru příkazem psql -c 'SELECT version();' nebo SHOW server_version;. Verze nižší než 18.7, 17.12, 16.16, 15.20 nebo 14.25 ve svých hlavních řadách jsou zasaženy.
• Zkontrolujte nainstalované binárky a balíčky příkazy postgres -V, dpkg -l | grep postgresql nebo rpm -qa | grep postgresql. Pokud je běžící verze starší než nainstalovaná, restartujte server.
• Vypište nainstalovaná rozšíření příkazem SELECT extname, extversion FROM pg_extension; v každé databázi. Ujistěte se, že každé rozšíření v jazyce C bylo aktualizováno nebo přesestaveno pro novou verzi.
• Zkontrolujte logy PostgreSQL na neočekávané pády backend procesů, například procesy serveru ukončené signálem. Zveřejněný exploit shodí neopravené servery, proto si podobných pádů zaslouží bližší pozornost.

Zdroje

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/