Sebuah kelemahan kebingungan tipe (type confusion) di dalam PostgreSQL memungkinkan pengguna basis data yang memiliki hak membuat objek untuk mengeksekusi kode langsung pada server. Pembaruan yang dirilis kemarin telah memperbaiki masalah tersebut bersama dengan 51 celah keamanan lainnya. Perlindungan menyeluruh dari gangguan ini juga mewajibkan proses kompilasi ulang seluruh ekstensi bahasa C yang terpasang di peladen.
Kelemahan sistem yang terdaftar sebagai CVE-2026-6460 ini mengantongi skor keparahan CVSS 8,8. Setiap eksekusi instruksi melalui jalur tersebut akan berjalan menggunakan hak akses dari pengguna sistem operasi yang mengelola PostgreSQL. Seluruh versi perangkat lunak sebelum rilis 18.7, 17.12, 16.16, 15.20, dan 14.25 dinyatakan terkena dampaknya secara langsung.
PostgreSQL Global Development Group, selaku pihak yang mempublikasikan rilis basis data tersebut, belum mencatat adanya serangan nyata yang mengeksploitasi celah ini. Hasil evaluasi CISA pada catatan resmi CVE juga mencantumkan tingkat eksploitasi saat ini masih berada pada status nihil.
Permasalahan keamanan ini berkaitan erat dengan tipe komposit, yaitu struktur data yang disusun dari berbagai kolom bernama dengan tipe data masing-masing. Tipe dari sebuah kolom dapat diubah ketika data lama dari tipe bersangkutan masih tersimpan pada bagian internal server lainnya.
Akibatnya, peladen dapat memproses nilai lama tersebut seolah-olah telah menggunakan format tipe data baru. Solusi perbaikan yang dipaparkan dalam catatan rilis proyek menambahkan mekanisme validasi versi agar peladen mampu mengenali nilai yang formatnya sudah tidak lagi sinkron dengan tipenya.
Peneliti keamanan siber Mehmet Ince memaparkan bukti eksploitasi fungsional untuk celah ini, yang berhasil didemonstrasikan pada instalasi PostgreSQL 18.6, lewat sebuah laporan teknis yang diterbitkan pekan ini.
Trik yang ia terapkan adalah merancang kueri penampung nilai, mengganti spesifikasi tipe salah satu kolomnya, lalu mengeksekusi kueri yang telah disiapkan tersebut. Publikasi itu memperlihatkan perintah SQL yang sanggup merusak sistem server tanpa tambalan dan tahapan berikutnya yang membocorkan alamat memori. Peneliti sengaja tidak menyertakan perintah SQL untuk langkah pamungkas yang memaksa peladen menjalankan instruksi perintah arbitrary.
Ince menegaskan dirinya berhasil "memicu kegagalan sistem ini hanya melalui peran pengguna terdaftar dengan hak istimewa paling rendah." Namun, lembar anjuran keamanan proyek hanya merinci pelaku penyerangan sebagai pengguna yang memiliki izin pembuatan objek, tanpa menjelaskan secara spesifik batas hak akses yang dibutuhkan.
Pihak Red Hat, yang ikut mendistribusikan paket sistem PostgreSQL, menyatakan dalam asesmen CVE miliknya bahwa penyerang memerlukan kredensial login basis data dengan kewenangan membuat atau memodifikasi objek data. Tidak satu pun dari sumber tersebut yang memastikan apakah akun pengguna dengan izin standar bawaan dapat melangkah lebih jauh hingga menjalankan kode setelah memicu keruntuhan sistem.
Ince menelusuri bahwa sumber kerentanan sudah ada sejak tanggal 5 Mei 2004, tepat ketika PostgreSQL memperkenalkan kemampuan memodifikasi tipe kolom tabel. Sementara itu, teknik yang digunakannya untuk mengeksekusi kode bertumpu pada modifikasi kode lanjutan yang diterapkan pada 14 Mei 2015.
Ia juga menyesuaikan metode serangan ini untuk layanan PostgreSQL terkelola dan telah menyerahkan bukti konsep secara tertutup kepada tim keamanan penyedia pada bulan Agustus. Ragam penyedia komputasi awan yang diajak bekerja sama mencakup AWS (Aurora dan RDS), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks, serta Ubicloud. Laporan tersebut tidak membeberkan status penambalan terkini dari masing-masing platform.
Proyek resmi memberikan apresiasi kepada lebih dari dua belas pelapor untuk penanganan CVE-2026-6460, termasuk sang peneliti, serta mencantumkan namanya pada lima kelemahan sistem lainnya dalam rilis yang sama.
Pengembang menilai 32 dari total 52 celah keamanan tersebut memiliki skor 8,8, yang menjadi skor paling tinggi dalam pengumuman kali ini. Mengacu pada catatan indeks kerentanan, hanya terdapat satu celah pada peladen yang sama sekali tidak membutuhkan autentikasi login maupun interaksi pengguna. Celah bernama CVE-2026-116322 tersebut memberikan ruang bagi klien tanpa kredensial untuk memicu proses restart mendadak pada peladen PostgreSQL 18.
Sejumlah perbaikan lain turut ditujukan bagi perkakas klien. Berkas arsip yang dimanipulasi dapat memaksa utilitas pg_restore menjalankan instruksi asing sesuai hak pengguna yang menjalankannya. Selain itu, sumber peladen yang telah disusupi dapat membuat psql mengeksekusi kode berbahaya melalui skrip pemulihan dalam keluaran arsip tar milik pg_dump.
