Sebuah celah keamanan type confusion pada sistem database PostgreSQL memungkinkan seorang pengguna basis data yang memiliki izin membuat objek untuk mengeksekusi instruksi kode langsung pada server. Pembaruan yang diluncurkan kemarin menuntaskan masalah tersebut, sekaligus mengatasi 51 celah keamanan lainnya. Guna memperoleh proteksi yang menyeluruh dari ancaman celah ini, administrator juga diwajibkan mengompilasi ulang seluruh ekstensi berbasis bahasa C yang terpasang di dalam server terkait.
Celah berisiko tersebut didaftarkan dengan kode CVE-2026-6460 serta mengantongi skor keparahan CVSS sebesar 8.8. Seluruh skrip kode yang dieksekusi melalui teknik ini bakal memperoleh hak akses penuh dari akun pengguna sistem operasi yang bertugas menjalankan PostgreSQL. Ancaman kerentanan ini membayangi seluruh versi perangkat lunak sebelum rilis pembaruan 18.7, 17.12, 16.16, 15.20, dan juga versi 14.25.
Pihak PostgreSQL Global Development Group selaku pengembang resmi distribusi perangkat lunak database ini menyatakan belum menerima laporan eksploitasi di dunia nyata. Penilaian resmi dari badan keamanan siber CISA di dalam catatan CVE terkait pun masih mencatat tingkat pemanfaatan serangan pada status nihil.
Celah teknis ini berkaitan erat dengan mekanisme composite types, yaitu sebuah struktur tipe data yang dibentuk dari kumpulan bidang bernomor dan mempunyai tipe data tersendiri. Pengubahan tipe data pada suatu bidang tertentu dapat diproses saat nilai-nilai terdahulu dari tipe data tersebut masih disimpan di bagian lain pada sistem server.
Situasi tersebut berpotensi memicu server membaca nilai lama secara keliru seolah-olah bernilai sesuai struktur tipe data yang baru. Solusi perbaikan yang dimuat dalam catatan rilis resmi menambahkan sistem pengecekan versi, sehingga server sanggup mendeteksi adanya ketidaksesuaian nilai terhadap definisi tipe datanya.
Peneliti keamanan siber Mehmet Ince memaparkan bukti eksploitasi fungsional atas celah sistem ini lewat demonstrasi teknis pada PostgreSQL 18.6 melalui ulasan tertulis pekan ini.
Metode yang ia kembangkan dimulai dengan mempersiapkan kueri yang menyimpan suatu nilai tertentu, lalu mengubah tipe salah satu bidang dari nilai itu, kemudian mengeksekusinya. Ulasan tersebut turut menyertakan baris perintah SQL yang mampu melumpuhkan server tanpa tambalan serta langkah kedua guna membocorkan alamat memori sistem. Namun, tulisan itu sengaja tidak membeberkan baris perintah SQL untuk langkah akhir yang memicu server mengeksekusi perintah eksternal.
Ia mencatat bahwa dirinya sanggup "memicu gangguan crash ini menggunakan peran login dengan tingkat hak akses terendah." Di sisi lain, buletin keamanan proyek hanya menggambarkan pelaku sebagai pihak yang berwenang membuat objek, tanpa merinci batas minimal hak akses yang dibutuhkan.
Pihak Red Hat yang mendistribusikan paket sistem PostgreSQL menyebutkan dalam telaah CVE mereka bahwa pelaku membutuhkan akses login database dengan wewenang membuat atau memodifikasi objek. Tidak ada satu pun dari rujukan resmi ini yang mengonfirmasi apakah akun berhak akses bawaan semata bisa melangkah lebih jauh dari sekadar merusak sistem untuk menjalankan kode liar.
Ince melacak jejak awal kemunculan bug tersebut hingga ke tanggal 5 Mei 2004, yakni masa ketika PostgreSQL pertama kali menambahkan fitur pengubah tipe kolom data. Sementara itu, teknik rancangannya dalam mengeksekusi instruksi kode sangat bergantung pada pembaruan lanjutan yang baru diterapkan pada 14 Mei 2015.
Ia juga telah menyesuaikan teknik serangan ini untuk berbagai layanan cloud PostgreSQL terkelola dan telah menyerahkan bukti konsep kerentanan secara tertutup kepada divisi keamanan mereka pada Agustus lalu. Penyedia layanan yang ia hubungi mencakup AWS (Aurora serta RDS), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks, dan Ubicloud. Laporan tersebut tidak mengungkap status pembaruan patch dari masing-masing penyedia.
Manajemen proyek PostgreSQL menyampaikan apresiasi kepada belasan pelapor kerentanan CVE-2026-6460, termasuk sang peneliti, serta mencantumkan namanya atas penemuan lima celah lainnya pada rilis serupa.
Pihak pengembang mematok skor 8.8 pada 32 dari total 52 celah yang ditangani, menjadikannya tingkat keparahan tertinggi dalam rilis ini. Mengacu pada indeks kerentanan resmi, hanya ada satu celah server yang tidak membutuhkan proses masuk akun atau interaksi pengguna. Masalah bernomor CVE-2026-116322 itu memungkinkan klien tanpa autentikasi memicu proses muat ulang paksa pada jajaran server PostgreSQL 18.
Sejumlah pembenahan lainnya ditujukan bagi perangkat lunak sisi klien. Berkas arsip berbahaya berpotensi memaksa modul pg_restore mengeksekusi perintah jahat setara izin pengguna yang membukanya. Selain itu, komputer server sumber yang telah disusupi peretas bisa memicu psql menjalankan instruksi berbahaya lewat perantara skrip pemulihan dalam keluaran berkas tar pg_dump.