PostgreSQL CVE-2026-6460: databázoví používatelia, ktorí môžu vytvárať objekty, môžu spúšťať kód na serveri

Čo sa stalo

Dňa 12. novembra 2026 vydala skupina PostgreSQL Global Development Group verzie PostgreSQL 18.7, 17.12, 16.16, 15.20 a 14.25. Podľa portálu The Hacker News tieto vydania opravujú 52 bezpečnostných chýb. Najzávažnejšia je CVE-2026-6460 (CVSS 8.8), chyba zmätenia typu v jadre servera.

Databázový používateľ, ktorý môže vytvárať objekty, môže pomocou ALTER ... SET DATA TYPE prinútiť server čítať zastaranú hodnotu, akoby mala nový typ. Rovnaké môžu urobiť aj iné DDL príkazy, napríklad ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Týmto spôsobom môže používateľ spustiť ľubovoľný kód pod operačným používateľom, pod ktorým beží PostgreSQL. Oprava pridáva kontroly verzií, aby server dokázal rozpoznať hodnoty, ktoré už nezodpovedajú svojmu typu.

Bezpečnostný výskumník Mehmet Ince zverejnil technický popis s funkčným exploitom, ktorý demonštroval na PostgreSQL 18.6. Popis obsahuje SQL, ktoré zhavaruje neopravený server, a krok, ktorý unikne pamäťové adresy. Neobsahuje posledný krok, ktorý spúšťa príkaz. Uviedol, že dokázal spustiť pád ako prihlasovacia rola s najnižšími oprávneniami. Zdroje neuvádzajú, či účet s iba predvolenými oprávneniami môže ísť ďalej a spustiť kód. Red Hat uvádza, že útočník potrebuje databázové prihlásenie, ktoré môže vytvárať alebo upravovať objekty.

Projekt PostgreSQL nenahlásil žiadne útoky využívajúce túto chybu a CISA ju nemá uvedenú ako zneužitú.

Tieto vydania opravujú aj ďalšie chyby vrátane CVE-2026-116322, ktorá umožňuje klientovi bez overenia prinútiť servery PostgreSQL 18 k reštartu. Opravujú tiež chyby v klientskych nástrojoch: upravený archív môže spôsobiť, že pg_restore spustí kód za používateľa, ktorý ho spúšťa, a kompromitovaný zdrojový server môže prinútiť psql spustiť kód cez obnovovací skript vo výstupe tar formátu z pg_dump.

Koho sa to týka

• PostgreSQL 18 pred 18.7, 17 pred 17.12, 16 pred 16.16, 15 pred 15.20 a 14 pred 14.25.
• Ovplyvnené sú aj staršie hlavné verzie, ktoré už aktualizáciu nedostanú. PostgreSQL 14 je teraz ukončený (end of life) a 14.25 je jeho posledné vydanie.
• Riziko je najvyššie na serveroch, kde majú prístup k databáze ľudia, ktorým úplne nedôverujete, a kde môžu vytvárať alebo meniť objekty. Týka sa to zdieľaného hostingu, databáz odovzdaných zákazníkom a webových aplikácií, ktorých databázový účet vlastní ich schému. Ak útočník ovládne takú aplikáciu, napríklad cez SQL injection, môže byť schopný použiť jej databázový účet týmto spôsobom.
• Spravované služby: výskumník poskytol dôkazy konceptu spoločnostiam AWS (RDS, Aurora), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks a Ubicloud. Ich aktuálny stav opráv nie je známy. Skontrolujte oznámenia svojho poskytovateľa.
• Servery, na ktorých nebeží PostgreSQL, nie sú ovplyvnené. MySQL a MariaDB nie sú ovplyvnené.

Čo treba urobiť teraz

1. Zálohujte konfiguráciu PostgreSQL (napríklad postgresql.conf a pg_hba.conf) a uistite sa, že máte aktuálnu zálohu databázy.
2. Aktualizujte server na opravenú verziu pre vašu hlavnú verziu: 18.7, 17.12, 16.16, 15.20 alebo 14.25. Ak používate balíky z distribúcie (Debian, Ubuntu, RHEL a ich klony), nainštalujte opravené balíky uvedené v bezpečnostnom oznámení vašej distribúcie hneď, ako budú k dispozícii. Potom použite správcu balíkov obvyklým spôsobom (apt update && apt upgrade alebo dnf upgrade).
3. Aktualizujte alebo znovu zostavte každé rozšírenie v jazyku C v rovnakom čase ako server. Správcovia RPM balíkov projektu upozorňujú, že rozšírenia zostavené pre staršie vydania sa stále načítajú, ale nemusia byť chránené. Niektoré rozšírenia tiež vyžadujú zmeny zdrojového kódu. Balíky rozšírení v RPM repozitároch PostgreSQL teraz vyžadujú nové menšie vydanie.
4. Reštartujte PostgreSQL. Ak beží mimo vlastnej service jednotky svojho balíka, napríklad pod Patroni, reštartujte ho ručne ihneď po aktualizácii.
5. Postupujte podľa krokov na preindexovanie uvedených v oficiálnom oznámení o vydaní. Ak používate inkrementálne zálohy, vytvorte novú úplnú zálohu a budúce inkrementálne zálohy zakladajte na nej.
6. Aktualizujte klientske nástroje ako pg_dump, pg_restore, psql, reindexdb a vacuumdb na každom počítači, ktorý ich používa, vrátane záložných serverov a administrátorských pracovných staníc.
7. Nepoužívajte nové nastavenie composite_type_mismatch na vypnutie nových kontrol. Projekt uvádza, že takýto postup prináša bezpečnostné riziká.
8. Ak nemôžete hneď aktualizovať, uvedomte si, že projekt neposkytuje žiadne dočasné riešenie. Kým nebudete môcť aktualizovať, skontrolujte, ktoré účty môžu vytvárať alebo meniť objekty, najmä účty používané webovými aplikáciami alebo odovzdané zákazníkom, a uistite sa, že PostgreSQL nie je dostupný z internetu, pokiaľ to nie je nevyhnutné.
9. Ak stále používate PostgreSQL 14 alebo staršiu verziu, naplánujte aktualizáciu na podporovanú hlavnú verziu.

Ako zistiť, či ste ovplyvnení

• Skontrolujte verziu bežiaceho servera príkazom psql -c 'SELECT version();' alebo SHOW server_version;. Verzie nižšie ako 18.7, 17.12, 16.16, 15.20 alebo 14.25 v rámci svojej hlavnej série sú ovplyvnené.
• Skontrolujte nainštalované binárne súbory a balíky príkazmi postgres -V, dpkg -l | grep postgresql alebo rpm -qa | grep postgresql. Ak je bežiaca verzia staršia ako nainštalovaná, reštartujte server.
• Vypíšte nainštalované rozšírenia príkazom SELECT extname, extversion FROM pg_extension; v každej databáze. Uistite sa, že každé rozšírenie v jazyku C bolo aktualizované alebo znovu zostavené pre nové vydanie.
• Skontrolujte logy PostgreSQL na neočakávané pády backend procesov, napríklad procesy servera ukončené signálom. Zverejnený exploit spôsobuje pád neopravených serverov, preto si takéto pády zaslúžia dôkladnejšiu kontrolu.

Zdroje

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/