PostgreSQL, 52 Güvenlik Açığını Kapatıyor; 22 Yıllık Hata Dahil

PostgreSQL, sunucuda kod çalıştırmaya izin verebilen, nesne oluşturma yetkisine sahip kimliği doğrulanmış bir veritabanı kullanıcısını etkileyen 8.8 CVSS puanlı bir tür karışıklığı hatası olan CVE-2026-6460 dahil 52 güvenlik açığını düzelten güncellemeler yayımladı. PostgreSQL Global Development Group, bu hatayı istismar eden saldırılar bildirmedi ve CISA da CVE kaydında istismar durumunu "yok" olarak listeliyor.

Hata

CVE-2026-6460, 18.7, 17.12, 16.16, 15.20 ve 14.25 öncesi tüm PostgreSQL sürümlerini etkiler. Adlandırılmış alanlardan oluşan ve her birinin kendi veri türü bulunan bileşik türleri içerir. Bir alanın türü değiştirilebilirken bu türün eski değerleri başka yerlerde tutulmaya devam edebilir; bu nedenle sunucu eski bir değeri yeni türdeymiş gibi okuyabilir. Düzeltme, uyumsuzluğu tespit etmek için sürüm denetimleri ekler. Hata üzerinden çalıştırılan kod, PostgreSQL'i çalıştıran işletim sistemi kullanıcısının yetkilerine sahiptir.

İstismar araştırması

Güvenlik araştırmacısı Mehmet Ince, PostgreSQL 18.6 üzerinde çalışan bir istismarı anlatan teknik bir yazı yayımladı. Yöntemi, bir değer tutan bir sorgu hazırlar, bir alanın türünü değiştirir, ardından sorguyu çalıştırır. Yazı, yamalanmamış bir sunucuyu çökerten SQL ve bellek adreslerini sızdıran ikinci bir adımı içerir, ancak sunucunun komut çalıştırmasını sağlayan son adımın SQL'ini içermez. En düşük yetkili oturum açma rolüyle çöküşü tetikleyebildiğini yazdı. Danışma metni saldırganı nesne oluşturabilen biri olarak tanımlar ve gerekli yetkileri belirtmez. Red Hat, saldırganın nesne oluşturabilmeye veya değiştirebilmeye yetkili bir veritabanı oturum açma bilgisine ihtiyacı olduğunu söyler. Bu kaynakların hiçbiri, yalnızca varsayılan yetkilere sahip bir hesabın çöküşün ötesine geçip kod çalıştırıp çalıştıramayacağını söylemez.

Ince, hatanın kökenini PostgreSQL'in bir sütunun türünü değiştirebilme yeteneği kazandığı 5 Mayıs 2004 tarihine dayandırır. Kod çalıştırma tekniği, 14 Mayıs 2015 tarihinde yapılan daha sonraki bir değişikliğe dayanır. Ayrıca istismarı yönetilen PostgreSQL hizmetleri için uyarladı ve Ağustos ayında sağlayıcıların güvenlik ekipleriyle kavram kanıtları paylaştı.

Diğer düzeltmeler

Proje, CVE-2026-6460 için bir düzineden fazla bildiriciye atıf yapar ve aynı sürümdeki beş başka hata için Ince'ye atıf yapar. 52 hatanın 32'sini 8.8 ile, sürümdeki en yüksek puanla değerlendirir. Güvenlik açığı dizinine göre yalnızca bir sunucu hatası ne oturum açma ne de kullanıcı eylemi gerektirir: CVE-2026-116322, kimliği doğrulanmamış bir istemcinin PostgreSQL 18 sunucularını yeniden başlatmasını sağlar. İstemci aracı düzeltmeleri arasında, pg_restore'un kendi kullanıcısı olarak kod çalıştırmasını sağlayabilen hazırlanmış bir arşiv ve psql'in pg_dump'un tar çıktısı üzerinden kod çalıştırmasını sağlayabilen ele geçirilmiş bir kaynak sunucu yer alır.

Yönetici eylemleri

Sunucuyu ana sürümle eşleşecek şekilde 18.7, 17.12, 16.16, 15.20 veya 14.25 sürümüne güncelleyin. Aynı anda her C dili eklentisini yeniden derleyin veya güncelleyin. Eski sürümlere göre derlenmiş eklentiler yüklenmeye devam eder, ancak bu sürümde düzeltilen güvenlik açıklarına karşı korunmuyor olabilir. PostgreSQL kendi paketinin servis birimi dışında, örneğin Patroni altında çalışıyorsa, güncellemenin hemen ardından yeniden başlatın. pg_dump, pg_restore, reindexdb ve vacuumdb gibi istemci araçlarını bunları çalıştıran her makinede güncelleyin. Proje bunun güvenlik riskleri taşıdığını söylediğinden denetimleri kapatmak için yeni composite_type_mismatch ayarını kullanmayın. Danışma metni ve sürüm notları henüz güncellenemeyen sunucular için bir geçici çözüm sunmaz.

PostgreSQL 14 artık kullanım ömrünü tamamlamıştır ve 14.25 onun son sürümüdür. Daha eski ana sürümler de etkilenmiştir ve güncelleme almamıştır. Güncelledikten sonra sürüm duyurusundaki yeniden indeksleme adımlarını izleyin. Artımlı yedekleme kullanıyorsanız yeni bir tam yedek alın ve sonraki artımlı yedekleri bunun üzerine temellendirin.

Kaynaklar: The Hacker News