PostgreSQL CVE-2026-6460: korisnici baze podataka koji mogu stvarati objekte mogu pokrenuti kod na poslužitelju

Što se dogodilo

Dana 12. studenoga 2026. PostgreSQL Global Development Group objavila je PostgreSQL 18.7, 17.12, 16.16, 15.20 i 14.25. Prema The Hacker Newsu, ova izdanja ispravljaju 52 sigurnosne ranjivosti. Najozbiljnija je CVE-2026-6460 (CVSS 8.8), ranjivost zbunjenosti tipova u jezgri poslužitelja.

Korisnik baze podataka koji može stvarati objekte može upotrijebiti ALTER ... SET DATA TYPE da natjera poslužitelj da zastarjelu vrijednost pročita kao da ima novi tip. Iste rezultate mogu postići i druge DDL naredbe, na primjer ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. To korisniku omogućuje pokretanje proizvoljnog koda kao operacijski sustav korisnik koji pokreće PostgreSQL. Ispravak dodaje provjere verzija kako bi poslužitelj mogao otkriti vrijednosti koje više ne odgovaraju svom tipu.

Istraživač sigurnosti Mehmet Ince objavio je tehnički opis s radnim exploitom, koji je demonstrirao na PostgreSQL-u 18.6. Opis uključuje SQL koji ruši neispravljeni poslužitelj i korak koji otkriva memorijske adrese. Ne uključuje završni korak koji pokreće naredbu. Naveo je da je rušenje mogao izazvati s prijavnom ulogom najnižih privilegija. Izvori ne govore može li račun s isključivo zadanim privilegijama otići dalje i pokrenuti kod. Red Hat navodi da napadaču treba prijava u bazu koja može stvarati ili mijenjati objekte.

Projekt PostgreSQL nije prijavio nikakve napade koji koriste ovu ranjivost, a CISA je ne navodi kao iskorištavanu.

Ista izdanja ispravljaju i druge ranjivosti, uključujući CVE-2026-116322, koja neautentificiranom klijentu omogućuje da prisili poslužitelje PostgreSQL 18 na ponovno pokretanje. Ispravljaju i ranjivosti alata klijenta: pripremljeni arhiv može natjerati pg_restore da pokrene kod korisnika koji ga izvodi, a kompromitirani izvorni poslužitelj može natjerati psql da pokrene kod kroz skriptu za vraćanje u tar izlazu programa pg_dump.

Tko je pogođen

• PostgreSQL 18 prije 18.7, 17 prije 17.12, 16 prije 16.16, 15 prije 15.20 i 14 prije 14.25.
• Starije glavne verzije također su pogođene i neće dobiti nadogradnju. PostgreSQL 14 je sada na kraju životnog vijeka, a 14.25 je njegovo posljednje izdanje.
• Rizik je najveći na poslužiteljima na kojima osobe koje ne poznajete u potpunosti imaju prijavu u bazu koja može stvarati ili mijenjati objekte. To uključuje zajednički hosting, baze podataka predane klijentima i web aplikacije čiji račun baze podataka posjeduje njihovu shemu. Ako napadač preuzme takvu aplikaciju, primjerice putem SQL injekcije, mogao bi iskoristiti njezin račun baze podataka na ovaj način.
• Upravljane usluge: istraživač je dijelio dokaze koncepta s AWS-om (RDS, Aurora), Microsoftom (Azure PostgreSQL), Googleom (AlloyDB), Supabaseom, Databricksom i Ubicloudom. Njihov trenutni status zakrpa nije poznat. Provjerite obavijesti vašeg pružatelja usluge.
• Poslužitelji koji ne pokreću PostgreSQL nisu pogođeni. MySQL i MariaDB nisu pogođeni.

Što učiniti sada

1. Napravite sigurnosnu kopiju konfiguracije PostgreSQL-a (primjerice postgresql.conf i pg_hba.conf) i provjerite imate li aktualnu sigurnosnu kopiju baze podataka.
2. Nadogradite poslužitelj na ispravljeno izdanje za vašu glavnu verziju: 18.7, 17.12, 16.16, 15.20 ili 14.25. Ako koristite pakete iz vaše distribucije (Debian, Ubuntu, RHEL i njihovi klonovi), instalirajte ispravljene pakete navedene u savjetu vaše distribucije čim budu dostupni. Zatim upravitelj paketa koristite kao i obično (apt update && apt upgrade ili dnf upgrade).
3. Nadogradite ili ponovno izgradite svako proširenje napisano u jeziku C u isto vrijeme kad i poslužitelj. Održavatelji RPM paketa projekta upozoravaju da proširenja izgrađena za starija izdanja i dalje učitavaju, ali možda nisu zaštićena. Neka proširenja također zahtijevaju promjene izvornog koda. Paketi proširenja u PostgreSQL RPM repozitorijima sada zahtijevaju novo manje izdanje.
4. Ponovno pokrenite PostgreSQL. Ako radi izvan vlastite servisne jedinice paketa, primjerice pod Patronijem, ručno ga ponovno pokrenite odmah nakon nadogradnje.
5. Slijedite korake za ponovno indeksiranje iz službene objave izdanja. Ako koristite inkrementalne sigurnosne kopije, napravite novu potpunu sigurnosnu kopiju i na njoj temeljite buduće inkrementalne kopije.
6. Nadogradite alate klijenta poput pg_dump, pg_restore, psql, reindexdb i vacuumdb na svakom računalu koje ih koristi, uključujući poslužitelje za sigurnosne kopije i administratorske radne stanice.
7. Nemojte koristiti novu postavku composite_type_mismatch za isključivanje novih provjera. Projekt navodi da to nosi sigurnosne rizike.
8. Ako ne možete odmah nadograditi, imajte na umu da projekt ne nudi zaobilazno rješenje. Dok ne možete nadograditi, provjerite koji računi mogu stvarati ili mijenjati objekte, osobito računi koje koriste web aplikacije ili koji su dodijeljeni klijentima, i osigurajte da PostgreSQL nije dostupan s interneta osim ako to nije nužno.
9. Ako još uvijek koristite PostgreSQL 14 ili stariju verziju, isplanirajte nadogradnju na podržanu glavnu verziju.

Kako provjeriti jeste li pogođeni

• Provjerite verziju pokrenutog poslužitelja naredbom psql -c 'SELECT version();' ili SHOW server_version;. Verzije niže od 18.7, 17.12, 16.16, 15.20 ili 14.25 unutar svoje glavne serije su pogođene.
• Provjerite instalirane binarne datoteke i pakete naredbama postgres -V, dpkg -l | grep postgresql ili rpm -qa | grep postgresql. Ponovno pokrenite poslužitelj ako je pokrenuta verzija starija od instalirane.
• Popišite instalirana proširenja naredbom SELECT extname, extversion FROM pg_extension; u svakoj bazi podataka. Provjerite je li svako C proširenje nadograđeno ili ponovno izgrađeno za novo izdanje.
• Provjerite zapise PostgreSQL-a za neočekivana rušenja pozadinskih procesa, poput procesa poslužitelja prekinutih signalom. Objavljeni exploit ruši neispravljene poslužitelje, pa su ovakva rušenja vrijedna pozornije provjere.

Izvori

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/