PostgreSQL CVE-2026-6460: usuários do banco que podem criar objetos podem executar código no servidor

O que aconteceu

Em 12 de novembro de 2026, o PostgreSQL Global Development Group lançou o PostgreSQL 18.7, 17.12, 16.16, 15.20 e 14.25. Segundo o The Hacker News, essas versões corrigem 52 falhas de segurança. A mais grave é o CVE-2026-6460 (CVSS 8.8), uma falha de confusão de tipo no núcleo do servidor.

Um usuário do banco que pode criar objetos pode usar ALTER ... SET DATA TYPE para fazer o servidor ler um valor desatualizado como se ele tivesse um novo tipo. Outras instruções DDL podem fazer o mesmo, por exemplo ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Isso permite que o usuário execute código arbitrário como o usuário do sistema operacional que executa o PostgreSQL. A correção adiciona verificações de versão para que o servidor consiga detectar valores que não correspondem mais ao seu tipo.

O pesquisador de segurança Mehmet Ince publicou uma análise técnica com um exploit funcional, que ele demonstrou no PostgreSQL 18.6. A análise inclui o SQL que derruba um servidor não corrigido e uma etapa que vaza endereços de memória. Ela não inclui a etapa final que executa um comando. Ele escreveu que conseguiu disparar a falha com uma role de login de privilégio mínimo. As fontes não informam se uma conta com apenas os privilégios padrão consegue ir além e executar código. A Red Hat afirma que o atacante precisa de um login no banco que possa criar ou modificar objetos.

O projeto PostgreSQL não relatou nenhum ataque que use a falha, e a CISA não a lista como explorada.

As mesmas versões corrigem outras falhas, incluindo o CVE-2026-116322, que permite que um cliente não autenticado force servidores PostgreSQL 18 a reiniciar. Elas também corrigem falhas em ferramentas cliente: um arquivo criado de forma maliciosa pode fazer o pg_restore executar código como o usuário que o executa, e um servidor de origem comprometido pode fazer o psql executar código por meio do script de restauração na saída tar do pg_dump.

Quem é afetado

• PostgreSQL 18 anterior à 18.7, 17 anterior à 17.12, 16 anterior à 16.16, 15 anterior à 15.20 e 14 anterior à 14.25.
• Versões principais mais antigas também são afetadas e não receberão atualização. O PostgreSQL 14 já está em fim de vida útil, e a 14.25 é sua última versão.
• O risco é maior em servidores nos quais pessoas em quem você não confia totalmente têm um login de banco que pode criar ou alterar objetos. Isso inclui hospedagem compartilhada, bancos entregues a clientes e aplicações web cuja conta do banco é dona do próprio esquema. Se um atacante assumir uma aplicação assim, por exemplo por meio de injeção de SQL, ele pode conseguir usar a conta do banco dessa forma.
• Serviços gerenciados: o pesquisador compartilhou provas de conceito com AWS (RDS, Aurora), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks e Ubicloud. O status atual de correção deles não é conhecido. Consulte os avisos do seu provedor.
• Servidores que não executam PostgreSQL não são afetados. MySQL e MariaDB não são afetados.

O que fazer agora

1. Faça backup da configuração do PostgreSQL (por exemplo postgresql.conf e pg_hba.conf) e certifique-se de ter um backup atual do banco de dados.
2. Atualize o servidor para a versão corrigida da sua versão principal: 18.7, 17.12, 16.16, 15.20 ou 14.25. Se você usa pacotes da sua distribuição (Debian, Ubuntu, RHEL e derivadas), instale os pacotes corrigidos listados no aviso da sua distribuição assim que estiverem disponíveis. Depois, use o gerenciador de pacotes normalmente (apt update && apt upgrade ou dnf upgrade).
3. Atualize ou recompile todas as extensões em linguagem C ao mesmo tempo que o servidor. Os mantenedores dos pacotes RPM do projeto alertam que extensões compiladas com versões antigas ainda carregam, mas podem não estar protegidas. Algumas extensões também precisam de alterações no código-fonte. Os pacotes de extensões nos repositórios RPM do PostgreSQL agora exigem a nova versão menor.
4. Reinicie o PostgreSQL. Se ele roda fora da unidade de serviço do próprio pacote, por exemplo sob o Patroni, reinicie manualmente logo após a atualização.
5. Siga os passos de reindexação do anúncio oficial da versão. Se você usa backups incrementais, faça um novo backup completo e baseie os próximos backups incrementais nele.
6. Atualize ferramentas cliente como pg_dump, pg_restore, psql, reindexdb e vacuumdb em todas as máquinas que as utilizam, incluindo servidores de backup e estações de administração.
7. Não use a nova configuração composite_type_mismatch para desativar as novas verificações. O projeto afirma que fazer isso traz riscos de segurança.
8. Se não puder atualizar imediatamente, lembre-se de que o projeto não oferece nenhuma solução alternativa. Até que você possa atualizar, revise quais contas podem criar ou alterar objetos, especialmente as contas usadas por aplicações web ou entregues a clientes, e garanta que o PostgreSQL não seja acessível pela internet, a menos que isso seja necessário.
9. Se você ainda usa o PostgreSQL 14 ou uma versão mais antiga, planeje a atualização para uma versão principal com suporte.

Como verificar se você é afetado

• Verifique a versão do servidor em execução com psql -c 'SELECT version();' ou SHOW server_version;. Versões abaixo de 18.7, 17.12, 16.16, 15.20 ou 14.25 dentro de suas séries principais são afetadas.
• Verifique os binários e pacotes instalados com postgres -V, dpkg -l | grep postgresql ou rpm -qa | grep postgresql. Reinicie o servidor se a versão em execução for anterior à versão instalada.
• Liste as extensões instaladas com SELECT extname, extversion FROM pg_extension; em cada banco de dados. Certifique-se de que cada extensão em C foi atualizada ou recompilada para a nova versão.
• Verifique os logs do PostgreSQL em busca de quedas inesperadas de processos de backend, como processos do servidor encerrados por um sinal. O exploit publicado derruba servidores não corrigidos, então quedas desse tipo merecem uma análise mais atenta.

Fontes

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/