PostgreSQL 52 güvenlik açığını yamaladı; kimlik doğrulaması yapılmış kullanıcılar için kod çalıştırma riski var

En ciddi açık CVE-2026-6460, nesne oluşturabilen bir kullanıcının veritabanı işletim sistemi hesabının yetkileriyle kod çalıştırmasına izin veriyor. Yama bekleyen sunucular için güncelleme önerilir.

PostgreSQL'in en son küçük sürümleri 52 güvenlik açığını yamalıyor. Bunların en ciddisi, CVSS puanı 8.8 olan CVE-2026-6460. Bu açık, nesne oluşturabilen kimlik doğrulaması yapılmış bir kullanıcının veritabanının işletim sistemi hesabının yetkileriyle kod çalıştırmasına olanak tanıyor.

Açık, bir bileşik türün alanı değiştirilirken o türün eski değerleri bellekte kalmaya devam ettiğinde ortaya çıkıyor. Sunucu bu durumda eski bir değeri yeni türmüş gibi okuyabiliyor. Açık 18.7, 17.12, 16.16, 15.20 ve 14.25 öncesi tüm sürümleri etkiliyor.

PostgreSQL projesi ve CISA, açığın şimdiye kadar istismar edildiğine dair bir bildirim olmadığını belirtiyor. Ancak bir güvenlik araştırmacısı, 18.6 sürümünde bir çökme ve bellek adresi sızıntısı gösterdi ve kanıt niteliğindeki kodları AWS, Microsoft, Google, Supabase, Databricks ve Ubicloud gibi yönetilen hizmet sağlayıcılarıyla özel olarak paylaştı.

Yöneticilere sunucuyu güncellemeleri, aynı anda C dili eklentilerini yeniden derlemeleri ve pg_dump ile pg_restore gibi istemci araçlarını da güncellemeleri öneriliyor. İstemci araçlardaki düzeltmeler, özel hazırlanmış arşivlerden kod çalıştırma sorununu da kapatıyor.