PostgreSQL corrige 52 falhas, incluindo a CVE-2026-6460, com origem em 2004
PostgreSQL corrige 52 falhas; a CVE-2026-6460 pode permitir execução de código por usuário autenticado com permissão para criar objetos.
Falha antiga pode permitir execução de código
O PostgreSQL publicou atualizações de segurança para corrigir 52 vulnerabilidades, incluindo a CVE-2026-6460, cuja origem remonta a 2004. A falha recebeu pontuação CVSS 8.8 e pode permitir que usuários autenticados com permissão para criar objetos executem código no servidor.
O problema afeta versões anteriores às atualizações 18.7, 17.12, 16.16, 15.20 e 14.25. Em uma exploração bem-sucedida, os comandos são executados com os privilégios da conta do sistema operacional responsável pelo processo do PostgreSQL. O projeto não relatou ataques, e a avaliação da CISA não aponta exploração ativa.
Confusão de tipos está na origem do problema
A vulnerabilidade envolve tipos compostos, estruturas que agrupam campos identificados por nomes e tipos de dados. Se o tipo de um campo é alterado enquanto valores antigos continuam armazenados, o PostgreSQL pode interpretar um valor antigo como se correspondesse à nova definição, causando uma confusão de tipos.
A correção introduz verificações de versão para identificar valores incompatíveis com a definição atual dos tipos. O pesquisador de segurança Mehmet Ince demonstrou a exploração no PostgreSQL 18.6: a técnica prepara uma consulta que mantém um valor em memória, altera o tipo de um campo e depois executa a consulta.
Ince apresentou demonstrações capazes de interromper um servidor vulnerável e obter endereços de memória, mas não divulgou o código SQL da etapa final de execução de comandos. Ele afirmou ter provocado a falha com uma conta autenticada de privilégios mínimos; o comunicado do projeto e a Red Hat, por sua vez, descrevem a necessidade de permissão para criar ou modificar objetos.
Segundo Ince, a origem da CVE remonta a uma mudança de 5 de maio de 2004, que permitiu alterar tipos de dados de colunas. A técnica de execução de código depende também de outra modificação, introduzida em 14 de maio de 2015. O pesquisador adaptou a exploração a serviços gerenciados e compartilhou provas de conceito privadamente com equipes de segurança em agosto.
Atualizações também abrangem ferramentas cliente
Das 52 vulnerabilidades corrigidas, 32 receberam pontuação CVSS 8.8, a maior classificação registrada nessa atualização. A CVE-2026-116322 permite que um cliente não autenticado provoque a reinicialização de servidores PostgreSQL 18 e é a única falha de servidor da atualização que não exige autenticação nem interação do usuário.
Há também falhas em ferramentas de administração e recuperação. Um arquivo preparado pode levar o pg_restore a executar código com os privilégios de quem restaura o banco; no psql, um servidor de origem comprometido pode explorar scripts de restauração incluídos na saída TAR do pg_dump.
Por isso, além dos servidores, é necessário atualizar as ferramentas cliente em todas as máquinas que as utilizam. Extensões desenvolvidas em C também precisam ser recompiladas ou atualizadas para incorporar as novas verificações; algumas podem exigir mudanças no código-fonte.
Atualização exige reinicialização e atenção aos backups
Extensões compiladas para versões antigas podem continuar funcionando sem a proteção corrigida, enquanto extensões recompiladas para versões novas podem deixar de funcionar em servidores antigos. O projeto recomenda não desabilitar a configuração composite_type_mismatch, pois isso pode reintroduzir riscos de segurança.
Administradores que executam o PostgreSQL fora da unidade de serviço padrão, inclusive em ambientes com Patroni, devem reiniciar o banco logo após a atualização. Depois da instalação, também precisam seguir os procedimentos de reindexação indicados pelo projeto; ambientes com backups incrementais devem fazer um novo backup completo para servir de base às cópias seguintes.
A versão 14.25 é a última atualização da linha PostgreSQL 14, cujo ciclo de suporte terminou. Versões principais ainda mais antigas também são afetadas, mas não receberam correções. O projeto não apresentou alternativa para servidores que não possam ser atualizados imediatamente, o que torna importante planejar a migração dos ambientes vulneráveis.
Apoie o Guia de TI
Compartilhar
Autor
Comentários
0Comece a conversa.
Seja a primeira pessoa a comentar este conteúdo.