PostgreSQL CVE-2026-6460：オブジェクトを作成できるデータベースユーザーがサーバー上でコードを実行できる問題

概要

2026 年 11 月 12 日、PostgreSQL Global Development Group は PostgreSQL 18.7、17.12、16.16、15.20、14.25 をリリースしました。The Hacker News によると、これらのリリースでは 52 件のセキュリティ上の欠陥が修正されています。最も深刻なのは CVE-2026-6460（CVSS 8.8）で、コアサーバーにおける型混同の欠陥です。

オブジェクトを作成できるデータベースユーザーは、ALTER ... SET DATA TYPE を使用して、サーバーに古い値を新しい型の値として読み込ませることができます。ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN のように、ほかの DDL 文でも同様のことが可能です。これにより、PostgreSQL を実行しているオペレーティングシステムのユーザーとして任意のコードを実行できます。今回の修正では、型と一致しなくなった値をサーバーが検出できるよう、バージョンの確認処理が追加されています。

セキュリティ研究者の Mehmet Ince 氏は、動作する攻撃コードを含む技術的な解説を公開しており、PostgreSQL 18.6 での実証を示しています。解説には、未修正のサーバーをクラッシュさせる SQL と、メモリアドレスを漏えいさせる手順が含まれています。一方で、コマンドを実行する最終段階は含まれていません。同氏によれば、最も権限の低いログインロールでもクラッシュを引き起こせたとのことです。デフォルトの権限のみを持つアカウントがさらにコードを実行できるかどうかは、公開情報からは確認できません。Red Hat は、攻撃者にはオブジェクトを作成または変更できるデータベースへのログインが必要だとしています。

PostgreSQL プロジェクトは、この欠陥を利用した攻撃を報告しておらず、CISA も悪用済みとしては掲載していません。

同じリリースでは、ほかの欠陥も修正されています。その中には、認証されていないクライアントが PostgreSQL 18 サーバーを強制的に再起動させられる CVE-2026-116322 も含まれます。また、クライアントツールの欠陥も修正されています。細工されたアーカイブにより、pg_restore を実行したユーザーとしてコードが実行される可能性があり、侵害された移行元サーバーにより、pg_dump の tar 出力に含まれるリストアスクリプトを通じて psql でコードが実行される可能性があります。

影響を受ける環境

• PostgreSQL 18.7 より前、17.12 より前、16.16 より前、15.20 より前、14.25 より前のバージョン
• それ以前のメジャーバージョンも影響を受けますが、更新は提供されません。PostgreSQL 14 はサポートが終了しており、14.25 が最後のリリースです。
• リスクが最も高いのは、信頼しきれないユーザーがオブジェクトを作成または変更できるデータベースログインを持つサーバーです。共有ホスティング、顧客に提供されるデータベース、データベースアカウントがスキーマを所有しているWebアプリケーションなどが該当します。SQL インジェクションなどによってそのようなアプリケーションが乗っ取られた場合、攻撃者はそのデータベースアカウントを使ってこの方法を利用できる可能性があります。
• マネージドサービス：研究者は、AWS（RDS、Aurora）、Microsoft（Azure PostgreSQL）、Google（AlloyDB）、Supabase、Databricks、Ubicloud に対して概念実証を共有しています。各社の現在のパッチ適用状況は不明です。提供元の通知を確認してください。
• PostgreSQL を実行していないサーバーは影響を受けません。MySQL および MariaDB も影響を受けません。

今すぐ行うこと

1. PostgreSQL の設定（例：postgresql.conf や pg_hba.conf）をバックアップし、最新のデータベースバックアップがあることを確認してください。
2. サーバーを、使用中のメジャーバージョンに対応する修正版（18.7、17.12、16.16、15.20、14.25）に更新してください。ディストリビューションのパッケージ（Debian、Ubuntu、RHEL およびその互換ディストリビューション）を使用している場合は、利用可能になり次第、ディストリビューションのアドバイザリに記載された修正版パッケージをインストールしてください。その後、通常どおりパッケージマネージャーを使用します（apt update && apt upgrade や dnf upgrade）。
3. サーバーの更新と同時に、すべての C 言語拡張機能を更新または再ビルドしてください。PostgreSQL の RPM メンテナーは、古いリリースに対してビルドされた拡張機能は読み込めても保護されていない可能性があると警告しています。ソースコードの変更が必要な拡張機能もあります。PostgreSQL の RPM リポジトリにある拡張機能パッケージは、新しいマイナーリリースを必要とするようになっています。
4. PostgreSQL を再起動してください。Patroni のように、パッケージ付属のサービスユニット以外で実行している場合は、更新直後に手動で再起動してください。
5. 公式のリリースアナウンスに記載された再インデックスの手順に従ってください。増分バックアップを使用している場合は、新たにフルバックアップを取得し、以降の増分バックアップはそれを基準にしてください。
6. pg_dump、pg_restore、psql、reindexdb、vacuumdb などのクライアントツールを、使用しているすべてのマシンで更新してください。バックアップホストや管理用ワークステーションも含みます。
7. 新しい composite_type_mismatch 設定を使って、新しいチェック機能を無効にしないでください。プロジェクトによれば、無効にするとセキュリティ上のリスクが生じます。
8. すぐに更新できない場合は、プロジェクトが回避策を提供していない点に注意してください。更新できるまでは、オブジェクトを作成または変更できるアカウントを確認し、特に Web アプリケーションで使用されているアカウントや顧客に提供されたアカウントを重点的に見直してください。また、必要がない限り、PostgreSQL がインターネットから到達できないようにしてください。
9. PostgreSQL 14 以前を引き続き使用している場合は、サポート対象のメジャーバージョンへの移行を計画してください。

影響を受けているかどうかの確認方法

• 実行中のサーバーのバージョンは、psql -c 'SELECT version();' または SHOW server_version; で確認できます。同じメジャーシリーズ内で 18.7、17.12、16.16、15.20、14.25 より前のバージョンは、影響を受けます。
• インストール済みのバイナリとパッケージは、postgres -V、dpkg -l | grep postgresql、rpm -qa | grep postgresql で確認できます。実行中のバージョンがインストール済みのバージョンより古い場合は、サーバーを再起動してください。
• 各データベースで SELECT extname, extversion FROM pg_extension; を実行し、インストール済みの拡張機能を一覧できます。すべての C 言語拡張機能が新しいリリース向けに更新または再ビルドされていることを確認してください。
• PostgreSQL のログで、シグナルによって終了したサーバープロセスなど、予期しないバックエンドのクラッシュがないか確認してください。公開された攻撃コードは未修正のサーバーをクラッシュさせるため、このようなクラッシュは詳しく調べる価値があります。

出典

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/