PostgreSQL CVE-2026-6460: Nesne oluşturabilen veritabanı kullanıcıları sunucuda kod çalıştırabilir

Ne oldu

12 Kasım 2026'da PostgreSQL Global Development Group, PostgreSQL 18.7, 17.12, 16.16, 15.20 ve 14.25 sürümlerini yayımladı. The Hacker News'e göre bu sürümler 52 güvenlik açığını gideriyor. En ciddi olanı CVE-2026-6460 (CVSS 8.8), çekirdek sunucudaki bir tip karıştırma hatasıdır.

Nesne oluşturabilen bir veritabanı kullanıcısı, sunucunun eski bir değeri yeni bir tipe aitmiş gibi okumasını sağlamak için ALTER ... SET DATA TYPE komutunu kullanabilir. Diğer DDL ifadeleri de aynı sonucu verebilir; örneğin ALTER TABLE ... ADD COLUMN; ROLLBACK; ALTER TABLE ... ADD COLUMN. Bu, kullanıcının PostgreSQL'i çalıştıran işletim sistemi kullanıcısı olarak rastgele kod çalıştırmasına olanak tanır. Düzeltme, sunucunun artık tipiyle eşleşmeyen değerleri algılayabilmesi için sürüm kontrolleri ekliyor.

Güvenlik araştırmacısı Mehmet Ince, PostgreSQL 18.6 üzerinde gösterdiği çalışan bir istismar kodu içeren teknik bir yazı yayımladı. Yazı, yamalanmamış bir sunucuyu çökerten SQL'i ve bellek adreslerini sızdıran bir adımı içeriyor. Komut çalıştıran son adımı içermiyor. Araştırmacı, en düşük yetkili bir oturum rolüyle çökmeyi tetikleyebildiğini yazdı. Kaynaklar, yalnızca varsayılan yetkilere sahip bir hesabın daha ileri giderek kod çalıştırıp çalıştıramayacağını belirtmiyor. Red Hat ise saldırganın nesne oluşturabilen veya değiştirebilen bir veritabanı oturumuna ihtiyacı olduğunu söylüyor.

PostgreSQL projesi, bu açığı kullanan herhangi bir saldırı bildirmedi ve CISA açığı istismar edilmiş olarak listelemiyor.

Aynı sürümler diğer açıkları da gideriyor. Bunlar arasında, kimlik doğrulaması yapılmamış bir istemcinin PostgreSQL 18 sunucularını yeniden başlatmasına olanak tanıyan CVE-2026-116322 de var. Ayrıca istemci araçlarındaki açıklar da giderildi: hazırlanmış bir arşiv, pg_restore'un onu çalıştıran kullanıcı olarak kod çalıştırmasına neden olabilir; ele geçirilmiş bir kaynak sunucu ise pg_dump'ın tar çıktısındaki geri yükleme betiği üzerinden psql'in kod çalıştırmasını sağlayabilir.

Kimler etkileniyor

• PostgreSQL 18.7 öncesi 18, 17.12 öncesi 17, 16.16 öncesi 16, 15.20 öncesi 15 ve 14.25 öncesi 14 sürümleri.
• Daha eski ana sürümler de etkilenir ve bunlar için güncelleme yayımlanmayacak. PostgreSQL 14 artık destek ömrünü tamamladı ve 14.25 son sürümüdür.
• Risk, tamamen güvenmediğiniz kişilerin nesne oluşturabileceği veya değiştirebileceği bir veritabanı oturumuna sahip olduğu sunucularda en yüksektir. Buna paylaşımlı barındırma, müşterilere verilen veritabanları ve veritabanı hesabı şemasının sahibi olan web uygulamaları dahildir. Bir saldırgan bu tür bir uygulamayı, örneğin SQL enjeksiyonu yoluyla ele geçirirse, veritabanı hesabını bu şekilde kullanabilir.
• Yönetilen hizmetler: araştırmacı, istismar kodunun kanıt niteliğindeki örneklerini AWS (RDS, Aurora), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks ve Ubicloud ile paylaştı. Bunların güncel yama durumu bilinmiyor. Sağlayıcınızın duyurularını kontrol edin.
• PostgreSQL çalıştırmayan sunucular etkilenmez. MySQL ve MariaDB etkilenmez.

Şimdi ne yapmalısınız

1. PostgreSQL yapılandırmanızı (örneğin postgresql.conf ve pg_hba.conf) yedekleyin ve güncel bir veritabanı yedeğinizin olduğundan emin olun.
2. Sunucuyu, ana sürümünüz için düzeltilmiş sürüme güncelleyin: 18.7, 17.12, 16.16, 15.20 veya 14.25. Dağıtımınızın paketlerini (Debian, Ubuntu, RHEL ve türevleri) kullanıyorsanız, düzeltilmiş paketler hazır olur olmaz dağıtımınızın güvenlik duyurusunda listelenen paketleri kurun. Ardından paket yöneticisini her zamanki gibi kullanın (apt update && apt upgrade veya dnf upgrade).
3. Sunucuyla aynı anda her C dilindeki eklentiyi güncelleyin veya yeniden derleyin. PostgreSQL RPM bakımcıları, eski sürümlere göre derlenen eklentilerin yüklenmeye devam edebileceğini, ancak korunmayabileceğini uyarıyor. Bazı eklentilerin kaynak kodunda değişiklik yapılması da gerekebilir. PostgreSQL RPM depolarındaki eklenti paketleri artık yeni küçük sürümü gerektiriyor.
4. PostgreSQL'i yeniden başlatın. Paketinin kendi servis birimi dışında çalışıyorsa, örneğin Patroni altında, güncellemeden hemen sonra manuel olarak yeniden başlatın.
5. Resmi sürüm duyurusundaki yeniden indeksleme adımlarını izleyin. Artımlı yedekleme kullanıyorsanız, yeni bir tam yedek alın ve gelecekteki artımlı yedeklemeleri bunun üzerine kurun.
6. Yedekleme sunucuları ve yönetici iş istasyonları dahil, pg_dump, pg_restore, psql, reindexdb ve vacuumdb gibi istemci araçlarını bunları kullanan her makinede güncelleyin.
7. Yeni composite_type_mismatch ayarını yeni denetimleri kapatmak için kullanmayın. Proje, bunun güvenlik riskleri taşıdığını belirtiyor.
8. Hemen güncelleyemiyorsanız, projenin geçici bir çözüm sunmadığını unutmayın. Güncelleyene kadar hangi hesapların nesne oluşturabildiğini veya değiştirebildiğini gözden geçirin; özellikle web uygulamalarının kullandığı veya müşterilere verilen hesapları. PostgreSQL'e gerekmedikçe internetten erişilemediğinden emin olun.
9. Hâlâ PostgreSQL 14 veya daha eski bir sürüm çalıştırıyorsanız, desteklenen bir ana sürüme yükseltme planlayın.

Etkilenip etkilenmediğinizi nasıl kontrol edersiniz

• Çalışan sunucu sürümünü psql -c 'SELECT version();' veya SHOW server_version; ile kontrol edin. Kendi ana sürüm serisinde 18.7, 17.12, 16.16, 15.20 veya 14.25'in altındaki sürümler etkilenir.
• Kurulu ikili dosyaları ve paketleri postgres -V, dpkg -l | grep postgresql veya rpm -qa | grep postgresql ile kontrol edin. Çalışan sürüm, kurulu sürümden eskiyse sunucuyu yeniden başlatın.
• Her veritabanında SELECT extname, extversion FROM pg_extension; ile kurulu eklentileri listeleyin. Her C eklentisinin yeni sürüm için güncellendiğinden veya yeniden derlendiğinden emin olun.
• PostgreSQL günlüklerinde, bir sinyalle sonlandırılan sunucu süreçleri gibi beklenmedik backend çökmelerini kontrol edin. Yayımlanan istismar kodu yamalanmamış sunucuları çökertiyor, bu nedenle bu tür çökmeler daha yakından incelenmeye değer.

Kaynaklar

• https://nvd.nist.gov/vuln/detail/CVE-2026-6460
• https://www.postgresql.org/support/security/CVE-2026-6460/