PostgreSQL CVE-2026-6460: utilizatorii care pot crea obiecte pot rula cod pe server

Ce s-a întâmplat

Pe 12 noiembrie 2026, PostgreSQL Global Development Group a lansat PostgreSQL 18.7, 17.12, 16.16, 15.20 și 14.25. Potrivit The Hacker News, aceste versiuni remediază 52 de defecte de securitate. Cel mai grav este CVE-2026-6460 (CVSS 8.8), o defecțiune de tip confuzie de tip în serverul principal.

Un utilizator al bazei de date care poate crea obiecte poate folosi ALTER ... SET DATA TYPE pentru a face serverul să citească o valoare veche ca și cum ar avea un tip nou. Alte instrucțiuni DDL pot face același lucru, de exemplu ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Astfel, utilizatorul poate rula cod arbitrar ca utilizatorul sistemului de operare sub care rulează PostgreSQL. Remedierea adaugă verificări de versiune, astfel încât serverul să poată detecta valorile care nu mai corespund tipului lor.

Cercetătorul în securitate Mehmet Ince a publicat o descriere tehnică, împreună cu un exploit funcțional, pe care l-a demonstrat pe PostgreSQL 18.6. Descrierea include SQL-ul care blochează un server nepatchuit și un pas care scurge adrese de memorie. Nu include pasul final care rulează o comandă. El a scris că a putut declanșa blocarea cu un rol de autentificare cu cele mai mici privilegii. Sursele nu spun dacă un cont cu doar privilegiile implicite poate merge mai departe și rula cod. Red Hat spune că un atacator are nevoie de un login în baza de date care poate crea sau modifica obiecte.

Proiectul PostgreSQL nu a raportat atacuri care să folosească defecțiunea, iar CISA nu o listează ca fiind exploatată.

Aceleași versiuni remediază și alte defecte, inclusiv CVE-2026-116322, care permite unui client neautentificat să forțeze repornirea serverelor PostgreSQL 18. De asemenea, remediază defecte din uneltele client: o arhivă special creată poate face pg_restore să ruleze cod ca utilizatorul care o execută, iar un server sursă compromis poate face psql să ruleze cod prin scriptul de restaurare din ieșirea tar a pg_dump.

Cine este afectat

• PostgreSQL 18 înainte de 18.7, 17 înainte de 17.12, 16 înainte de 16.16, 15 înainte de 15.20 și 14 înainte de 14.25.
• Versiunile majore mai vechi sunt și ele afectate și nu vor primi o actualizare. PostgreSQL 14 a ajuns acum la sfârșitul ciclului de viață, iar 14.25 este ultima sa versiune.
• Riscul este cel mai mare pe serverele unde persoane în care nu ai încredere deplină au un login în baza de date care poate crea sau modifica obiecte. Aici intră găzduirea partajată, bazele de date oferite clienților și aplicațiile web al căror cont de bază de date deține schema. Dacă un atacator preia o astfel de aplicație, de exemplu printr-o injecție SQL, ar putea folosi contul ei de bază de date în acest fel.
• Servicii gestionate: cercetătorul a trimis dovezi de concept către AWS (RDS, Aurora), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks și Ubicloud. Starea actuală a patch-urilor lor nu este cunoscută. Verifică anunțurile furnizorului tău.
• Serverele care nu rulează PostgreSQL nu sunt afectate. MySQL și MariaDB nu sunt afectate.

Ce să faci acum

1. Fă o copie de rezervă a configurației PostgreSQL (de exemplu postgresql.conf și pg_hba.conf) și asigură-te că ai o copie de rezervă actuală a bazei de date.
2. Actualizează serverul la versiunea remediată pentru versiunea ta majoră: 18.7, 17.12, 16.16, 15.20 sau 14.25. Dacă folosești pachete de la distribuția ta (Debian, Ubuntu, RHEL și derivatele lor), instalează pachetele remediate listate în avizul distribuției tale imediat ce sunt disponibile. Apoi folosește managerul de pachete ca de obicei (apt update && apt upgrade sau dnf upgrade).
3. Actualizează sau recompilează fiecare extensie în limbajul C în același timp cu serverul. Întreținătorii RPM ai proiectului avertizează că extensiile compilate pentru versiuni mai vechi se încarcă în continuare, dar s-ar putea să nu fie protejate. Unele extensii necesită și modificări ale codului sursă. Pachetele de extensii din depozitele RPM PostgreSQL necesită acum noua versiune minoră.
4. Repornește PostgreSQL. Dacă rulează în afara unității de serviciu proprii pachetului, de exemplu sub Patroni, repornește-l manual imediat după actualizare.
5. Urmează pașii de reindexare din anunțul oficial al versiunii. Dacă folosești backup-uri incrementale, fă un backup complet nou și bazează backup-urile incrementale viitoare pe acesta.
6. Actualizează uneltele client precum pg_dump, pg_restore, psql, reindexdb și vacuumdb pe fiecare mașină care le folosește, inclusiv pe serverele de backup și pe stațiile de administrare.
7. Nu folosi noua setare composite_type_mismatch pentru a dezactiva noile verificări. Proiectul spune că acest lucru aduce riscuri de securitate.
8. Dacă nu poți actualiza imediat, ține cont că proiectul nu oferă nicio soluție temporară. Până poți actualiza, verifică ce conturi pot crea sau modifica obiecte, mai ales conturile folosite de aplicațiile web sau oferite clienților, și asigură-te că PostgreSQL nu este accesibil de pe internet decât dacă este necesar.
9. Dacă mai rulezi PostgreSQL 14 sau o versiune mai veche, planifică o actualizare la o versiune majoră suportată.

Cum verifici dacă ești afectat

• Verifică versiunea serverului care rulează cu psql -c 'SELECT version();' sau SHOW server_version;. Versiunile sub 18.7, 17.12, 16.16, 15.20 sau 14.25 din seria lor majoră sunt afectate.
• Verifică binarele și pachetele instalate cu postgres -V, dpkg -l | grep postgresql sau rpm -qa | grep postgresql. Repornește serverul dacă versiunea care rulează este mai veche decât cea instalată.
• Listează extensiile instalate cu SELECT extname, extversion FROM pg_extension; în fiecare bază de date. Asigură-te că fiecare extensie C a fost actualizată sau recompilată pentru noua versiune.
• Verifică jurnalele PostgreSQL pentru blocări neașteptate ale proceselor backend, cum ar fi procesele de server terminate de un semnal. Exploitul publicat blochează serverele nepatchuite, deci astfel de blocări merită o verificare atentă.

Surse

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/