PostgreSQL CVE-2026-6460: 객체를 생성할 수 있는 데이터베이스 사용자가 서버에서 코드를 실행할 수 있습니다

무슨 일이 있었나

2026년 11월 12일 PostgreSQL Global Development Group은 PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25를 출시했습니다. The Hacker News에 따르면 이 릴리스에서 52개의 보안 결함이 수정되었습니다. 가장 심각한 결함은 코어 서버의 타입 혼동(type confusion) 결함인 CVE-2026-6460(CVSS 8.8)입니다.

객체를 생성할 수 있는 데이터베이스 사용자는 ALTER ... SET DATA TYPE을 사용하여 서버가 오래된 값을 새 타입의 값으로 읽도록 만들 수 있습니다. 예를 들어 ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN과 같이 다른 DDL 문으로도 같은 일을 할 수 있습니다. 이를 통해 사용자는 PostgreSQL을 실행하는 운영체제 사용자 권한으로 임의의 코드를 실행할 수 있습니다. 이번 수정에서는 값이 더 이상 타입과 일치하지 않는 경우를 서버가 감지할 수 있도록 버전 검사를 추가했습니다.

보안 연구원 Mehmet Ince는 작동하는 익스플로잇이 포함된 기술 분석 자료를 공개했으며, 이를 PostgreSQL 18.6에서 시연했습니다. 이 자료에는 패치되지 않은 서버를 중단시키는 SQL과 메모리 주소를 노출하는 단계가 포함되어 있습니다. 명령을 실행하는 최종 단계는 포함되어 있지 않습니다. 연구원은 가장 낮은 권한의 로그인 역할로도 중단을 유발할 수 있었다고 밝혔습니다. 기본 권한만 가진 계정이 코드 실행까지 나아갈 수 있는지는 자료에서 확인되지 않습니다. Red Hat은 공격자에게 객체를 생성하거나 수정할 수 있는 데이터베이스 로그인이 필요하다고 설명합니다.

PostgreSQL 프로젝트는 이 결함을 이용한 공격을 보고받지 않았으며, CISA도 이 결함을 악용된 것으로 나열하지 않았습니다.

같은 릴리스에서 다른 결함도 수정되었습니다. 인증되지 않은 클라이언트가 PostgreSQL 18 서버를 강제로 재시작하게 만들 수 있는 CVE-2026-116322도 포함됩니다. 또한 클라이언트 도구의 결함도 수정되었습니다. 조작된 아카이브로 pg_restore가 실행한 사용자 권한으로 코드를 실행하게 할 수 있고, 침해된 원본 서버가 pg_dump의 tar 출력에 포함된 복원 스크립트를 통해 psql이 코드를 실행하게 만들 수 있습니다.

영향을 받는 대상

• PostgreSQL 18.7 이전 18 버전, 17.12 이전 17 버전, 16.16 이전 16 버전, 15.20 이전 15 버전, 14.25 이전 14 버전.
• 이전 메이저 버전도 영향을 받으며 업데이트를 받지 못합니다. PostgreSQL 14는 이제 지원이 종료되었으며 14.25가 마지막 릴리스입니다.
• 객체를 생성하거나 변경할 수 있는 데이터베이스 로그인을 완전히 신뢰하지 않는 사용자가 가진 서버에서 위험이 가장 큽니다. 여기에는 공유 호스팅, 고객에게 제공된 데이터베이스, 데이터베이스 계정이 스키마를 소유하는 웹 애플리케이션이 포함됩니다. 예를 들어 SQL 인젝션으로 이러한 애플리케이션을 공격자가 장악하면, 공격자는 그 데이터베이스 계정을 이런 방식으로 사용할 수 있습니다.
• 관리형 서비스: 연구원은 AWS(RDS, Aurora), Microsoft(Azure PostgreSQL), Google(AlloyDB), Supabase, Databricks, Ubicloud에 개념 증명 코드를 공유했습니다. 현재 패치 상태는 알려지지 않았습니다. 서비스 제공업체의 공지를 확인하십시오.
• PostgreSQL을 실행하지 않는 서버는 영향을 받지 않습니다. MySQL과 MariaDB도 영향을 받지 않습니다.

지금 해야 할 일

1. PostgreSQL 설정 파일(예: postgresql.conf와 pg_hba.conf)을 백업하고 최신 데이터베이스 백업이 있는지 확인하십시오.
2. 사용 중인 메이저 버전에 맞는 수정 릴리스로 서버를 업데이트하십시오: 18.7, 17.12, 16.16, 15.20 또는 14.25. 배포판(Debian, Ubuntu, RHEL 및 호환 배포판)의 패키지를 사용하는 경우, 제공되는 즉시 배포판 권고문에 나온 수정 패키지를 설치하십시오. 그다음 평소처럼 패키지 관리자를 사용하십시오(apt update && apt upgrade 또는 dnf upgrade).
3. 서버와 동시에 모든 C 언어 확장을 업데이트하거나 다시 빌드하십시오. 프로젝트의 RPM 관리자들은 이전 릴리스로 빌드된 확장도 로드는 되지만 보호되지 않을 수 있다고 경고합니다. 일부 확장은 소스 코드 변경도 필요합니다. PostgreSQL RPM 저장소의 확장 패키지는 이제 새 마이너 릴리스를 요구합니다.
4. PostgreSQL을 재시작하십시오. Patroni 등 패키지의 기본 서비스 유닛 바깥에서 실행 중이라면, 업데이트 직후 수동으로 재시작하십시오.
5. 공식 릴리스 공지의 재인덱싱 단계를 따르십시오. 증분 백업을 사용한다면 새 전체 백업을 만들고 이후 증분 백업이 그것을 기준으로 하도록 하십시오.
6. pg_dump, pg_restore, psql, reindexdb, vacuumdb 같은 클라이언트 도구를 사용하는 모든 시스템에서 업데이트하십시오. 백업 호스트와 관리자 워크스테이션도 포함됩니다.
7. 새 composite_type_mismatch 설정을 사용하여 새 검사를 끄지 마십시오. 프로젝트는 이렇게 하면 보안 위험이 따른다고 밝혔습니다.
8. 즉시 업데이트할 수 없다면, 프로젝트가 우회 방법을 제공하지 않는다는 점을 기억하십시오. 업데이트할 때까지 객체를 생성하거나 변경할 수 있는 계정, 특히 웹 애플리케이션이 사용하거나 고객에게 제공된 계정을 검토하고, PostgreSQL이 꼭 필요하지 않다면 인터넷에서 접근할 수 없도록 하십시오.
9. 여전히 PostgreSQL 14 이하를 실행 중이라면 지원되는 메이저 버전으로의 업그레이드를 계획하십시오.

영향 여부 확인 방법

• psql -c 'SELECT version();' 또는 SHOW server_version;으로 실행 중인 서버 버전을 확인하십시오. 해당 메이저 계열에서 18.7, 17.12, 16.16, 15.20 또는 14.25보다 낮은 버전은 영향을 받습니다.
• postgres -V, dpkg -l | grep postgresql 또는 rpm -qa | grep postgresql로 설치된 바이너리와 패키지를 확인하십시오. 실행 중인 버전이 설치된 버전보다 오래되었다면 서버를 재시작하십시오.
• 각 데이터베이스에서 SELECT extname, extversion FROM pg_extension;으로 설치된 확장을 나열하십시오. 모든 C 확장이 새 릴리스에 맞게 업데이트되었거나 다시 빌드되었는지 확인하십시오.
• PostgreSQL 로그에서 신호로 종료된 서버 프로세스 등 예상치 못한 백엔드 중단을 확인하십시오. 공개된 익스플로잇은 패치되지 않은 서버를 중단시키므로, 이와 같은 중단은 자세히 살펴볼 가치가 있습니다.

출처

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/