PostgreSQL CVE-2026-6460: databrukere som kan opprette objekter kan kjøre kode på serveren

Hva skjedde

Den 12. november 2026 ga PostgreSQL Global Development Group ut PostgreSQL 18.7, 17.12, 16.16, 15.20 og 14.25. Ifølge The Hacker News retter disse utgivelsene 52 sikkerhetsfeil. Den alvorligste er CVE-2026-6460 (CVSS 8.8), en typeforvekslingsfeil i kjerneserveren.

En databruker som kan opprette objekter, kan bruke ALTER ... SET DATA TYPE til å få serveren til å lese en utdatert verdi som om den hadde en ny type. Andre DDL-setninger kan gjøre det samme, for eksempel ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Dette gjør at brukeren kan kjøre vilkårlig kode som operativsystembrukeren som kjører PostgreSQL. Rettelsen legger til versjonskontroller, slik at serveren kan oppdage verdier som ikke lenger samsvarer med typen sin.

Sikkerhetsforskeren Mehmet Ince har publisert en teknisk beskrivelse med et fungerende exploit, som han demonstrerte på PostgreSQL 18.6. Beskrivelsen inneholder SQL-koden som krasjer en uoppdatert server, og et steg som lekker minneadresser. Den inneholder ikke det siste steget som kjører en kommando. Han skrev at han kunne utløse krasjen med en innloggingsrolle med lavest mulige rettigheter. Kildene sier ikke om en konto med bare standardrettigheter kan gå videre og kjøre kode. Red Hat sier at en angriper trenger en databaseinnlogging som kan opprette eller endre objekter.

PostgreSQL-prosjektet har ikke rapportert noen angrep som utnytter feilen, og CISA lister ikke feilen som utnyttet.

De samme utgivelsene retter andre feil, blant annet CVE-2026-116322, som lar en klient uten autentisering tvinge PostgreSQL 18-servere til å starte på nytt. De retter også feil i klientverktøy: et laget arkiv kan få pg_restore til å kjøre kode som brukeren som kjører den, og en kompromittert kildeserver kan få psql til å kjøre kode gjennom restore-skriptet i tar-utdata fra pg_dump.

Hvem er berørt

• PostgreSQL 18 før 18.7, 17 før 17.12, 16 før 16.16, 15 før 15.20 og 14 før 14.25.
• Eldre hovedversjoner er også berørt, og de får ingen oppdatering. PostgreSQL 14 er nå utgått på støtte, og 14.25 er siste utgivelse.
• Risikoen er størst på servere der personer du ikke har full tillit til, har en databaseinnlogging som kan opprette eller endre objekter. Dette gjelder delt hosting, databaser som overlates til kunder og webapplikasjoner der databasekontoen eier skjemaet. Hvis en angriper tar over en slik applikasjon, for eksempel gjennom SQL-injeksjon, kan angriperen kanskje bruke databasekontoen på denne måten.
• Administrerte tjenester: forskeren delte proof of concept med AWS (RDS, Aurora), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks og Ubicloud. Status for rettingene hos dem er ukjent. Sjekk leverandørens meldinger.
• Servere som ikke kjører PostgreSQL, er ikke berørt. MySQL og MariaDB er ikke berørt.

Hva du bør gjøre nå

1. Ta backup av PostgreSQL-konfigurasjonen din (for eksempel postgresql.conf og pg_hba.conf) og sørg for at du har en oppdatert databasebackup.
2. Oppdater serveren til den rettede utgivelsen for hovedversjonen din: 18.7, 17.12, 16.16, 15.20 eller 14.25. Hvis du bruker pakker fra distribusjonen din (Debian, Ubuntu, RHEL og lignende), installer de rettede pakkene som står i distribusjonens sikkerhetsvarsel så snart de er tilgjengelige. Bruk deretter pakkehåndteringen som vanlig (apt update && apt upgrade eller dnf upgrade).
3. Oppdater eller bygg på nytt alle C-utvidelser samtidig med serveren. Prosjektets RPM-vedlikeholdere advarer om at utvidelser bygget mot eldre utgivelser fortsatt lastes, men kan være uten beskyttelse. Noen utvidelser krever også endringer i kildekoden. Utvidelsespakker i PostgreSQL RPM-repositoriene krever nå den nye mindre utgivelsen.
4. Start PostgreSQL på nytt. Hvis den kjører utenfor den egne tjenesteenheten i pakken, for eksempel under Patroni, start den manuelt på nytt rett etter oppdateringen.
5. Følg reindekseringsstegene i den offisielle utgivelsesannonseringen. Hvis du bruker inkrementelle backuper, ta en ny full backup og bygg fremtidige inkrementelle backuper på den.
6. Oppdater klientverktøy som pg_dump, pg_restore, psql, reindexdb og vacuumdb på alle maskiner som bruker dem, inkludert backupservere og administrasjonsarbeidsstasjoner.
7. Ikke bruk den nye innstillingen composite_type_mismatch til å slå av de nye kontrollene. Prosjektet sier at det medfører sikkerhetsrisiko.
8. Hvis du ikke kan oppdatere med en gang, husk at prosjektet ikke tilbyr noen midlertidig løsning. Inntil du kan oppdatere, gå gjennom hvilke kontoer som kan opprette eller endre objekter, spesielt kontoer som brukes av webapplikasjoner eller er gitt til kunder, og sørg for at PostgreSQL ikke er tilgjengelig fra internett med mindre det er nødvendig.
9. Hvis du fortsatt kjører PostgreSQL 14 eller en eldre versjon, planlegg en oppgradering til en støttet hovedversjon.

Slik sjekker du om du er berørt

• Sjekk versjonen til serveren som kjører, med psql -c 'SELECT version();' eller SHOW server_version;. Versjoner under 18.7, 17.12, 16.16, 15.20 eller 14.25 innenfor sin hovedserie er berørt.
• Sjekk installerte binærfiler og pakker med postgres -V, dpkg -l | grep postgresql eller rpm -qa | grep postgresql. Start serveren på nytt hvis versjonen som kjører er eldre enn den som er installert.
• List installerte utvidelser med SELECT extname, extversion FROM pg_extension; i hver database. Sørg for at alle C-utvidelser er oppdatert eller bygd på nytt for den nye utgivelsen.
• Sjekk PostgreSQL-loggene for uventede krasj i backend-prosesser, for eksempel serverprosesser som avsluttes av et signal. Det publiserte exploitet krasjer uoppdaterte servere, så slike krasj bør undersøkes nærmere.

Kilder

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/