PostgreSQL CVE-2026-6460: databrugere, der kan oprette objekter, kan køre kode på serveren

Hvad skete der

Den 12. november 2026 udgav PostgreSQL Global Development Group PostgreSQL 18.7, 17.12, 16.16, 15.20 og 14.25. Ifølge The Hacker News retter udgivelserne 52 sikkerhedsfejl. Den alvorligste er CVE-2026-6460 (CVSS 8.8), en typeforvirringsfejl i kerneserveren.

En databruger, der kan oprette objekter, kan bruge ALTER ... SET DATA TYPE til at få serveren til at læse en forældet værdi, som om den havde en ny type. Andre DDL-sætninger kan gøre det samme, for eksempel ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Det gør det muligt for brugeren at køre vilkårlig kode som operativsystembrugeren, der kører PostgreSQL. Rettelsen tilføjer versionskontroller, så serveren kan opdage værdier, der ikke længere passer til deres type.

Sikkerhedsforskeren Mehmet Ince har offentliggjort en teknisk beskrivelse med et fungerende exploit, som han demonstrerede på PostgreSQL 18.6. Beskrivelsen indeholder SQL, der får en uopdateret server til at ggå ned, og et trin, der lækker hukommelsesadresser. Det indeholder ikke det sidste trin, der kører en kommando. Han skrev, at han kunne udløse nedbruddet med en login-rolle med de laveste rettigheder. Kilderne siger ikke, om en konto med kun standardrettigheder kan gå videre og køre kode. Red Hat siger, at en angriber har brug for et databaselogin, der kan oprette eller ændre objekter.

PostgreSQL-projektet har ikke rapporteret angreb, der udnytter fejlen, og CISA optager den ikke som udnyttet.

De samme udgivelser retter andre fejl, herunder CVE-2026-116322, som gør det muligt for en klient uden login at tvinge PostgreSQL 18-servere til at genstarte. De retter også fejl i klientværktøjer: et manipuleret arkiv kan få pg_restore til at køre kode som den bruger, der kører det, og en kompromitteret kildeserver kan få psql til at køre kode gennem gendannelsesscriptet i pg_dumps tar-output.

Hvem er berørt

• PostgreSQL 18 før 18.7, 17 før 17.12, 16 før 16.16, 15 før 15.20 og 14 før 14.25.
• Ældre hovedversioner er også berørt og får ingen opdatering. PostgreSQL 14 er nu udgået af support, og 14.25 er dens sidste udgivelse.
• Risikoen er størst på servere, hvor personer, du ikke fuldt ud stoler på, har et databaselogin, der kan oprette eller ændre objekter. Det gælder delt hosting, databaser, der udleveres til kunder, og webapplikationer, hvis databasekonto ejer deres skema. Hvis en angriber overtager en sådan applikation, for eksempel via SQL-injection, kan de muligvis bruge dens databasekonto på denne måde.
• Administrerede tjenester: forskeren har delt proof-of-concept-kode med AWS (RDS, Aurora), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks og Ubicloud. Deres aktuelle patchstatus er ikke kendt. Tjek din udbyders meddelelser.
• Servere, der ikke kører PostgreSQL, er ikke berørt. MySQL og MariaDB er ikke berørt.

Hvad du skal gøre nu

1. Tag en sikkerhedskopi af din PostgreSQL-konfiguration (for eksempel postgresql.conf og pg_hba.conf), og sørg for, at du har en aktuel database-backup.
2. Opdater serveren til den rettede udgivelse for din hovedversion: 18.7, 17.12, 16.16, 15.20 eller 14.25. Hvis du bruger pakker fra din distribution (Debian, Ubuntu, RHEL og lignende), så installer de rettede pakker, der er angivet i din distributions advisory, så snart de er tilgængelige. Brug derefter pakkehåndteringen som vanligt (apt update && apt upgrade eller dnf upgrade).
3. Opdater eller genopbyg alle C-udvidelser samtidig med serveren. PostgreSQL-projektets RPM-vedligeholdere advarer om, at udvidelser bygget mod ældre udgivelser stadig indlæses, men muligvis ikke er beskyttet. Nogle udvidelser kræver også ændringer i kildekoden. Udvidelsespakker i PostgreSQL RPM-arkiverne kræver nu den nye mindre udgivelse.
4. Genstart PostgreSQL. Hvis den kører uden for pakkens egen service-enhed, for eksempel under Patroni, så genstart den manuelt lige efter opdateringen.
5. Følg genindekseringstrinene i den officielle udgivelsesmeddelelse. Hvis du bruger inkrementelle backups, så tag en ny fuld backup og baser fremtidige inkrementelle backups på den.
6. Opdater klientværktøjer som pg_dump, pg_restore, psql, reindexdb og vacuumdb på alle maskiner, der bruger dem, herunder backupservere og administratorarbejdsstationer.
7. Brug ikke den nye indstilling composite_type_mismatch til at slå de nye kontroller fra. Projektet siger, at det medfører sikkerhedsrisici.
8. Hvis du ikke kan opdatere med det samme, skal du huske, at projektet ikke tilbyder nogen midlertidig løsning. Indtil du kan opdatere, bør du gennemgå, hvilke konti der kan oprette eller ændre objekter, især konti, der bruges af webapplikationer eller er udleveret til kunder, og sikre, at PostgreSQL ikke kan nås fra internettet, medmindre det er nødvendigt.
9. Hvis du stadig kører PostgreSQL 14 eller en ældre version, så planlæg en opgradering til en understøttet hovedversion.

Sådan tjekker du, om du er berørt

• Tjek den kørende serverversion med psql -c 'SELECT version();' eller SHOW server_version;. Versioner under 18.7, 17.12, 16.16, 15.20 eller 14.25 inden for deres hovedserie er berørt.
• Tjek de installerede binære filer og pakker med postgres -V, dpkg -l | grep postgresql eller rpm -qa | grep postgresql. Genstart serveren, hvis den kørende version er ældre end den installerede.
• List installerede udvidelser med SELECT extname, extversion FROM pg_extension; i hver database. Sørg for, at hver C-udvidelse er opdateret eller genbygget til den nye udgivelse.
• Tjek PostgreSQL-logfilerne for uventede backend-nedbrud, for eksempel serverprocesser, der afsluttes af et signal. Det offentliggjorte exploit får uopdaterede servere til at gå ned, så nedbrud som disse er værd at undersøge nærmere.

Kilder

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/