Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

PostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerze

Aktualizacje PostgreSQL 18.7, 17.12, 16.16, 15.20 i 14.25 usuwają 52 luki. CVE-2026-6460 (CVSS 8.8) pozwala użytkownikowi bazy z prawem tworzenia obiektów uruchomić kod na serwerze.

Karta wpisu: PostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerze

PostgreSQL wydał aktualizacje usuwające 52 luki, w tym CVE-2026-6460 z oceną CVSS 8.8. Luka pozwala użytkownikowi bazy, który może tworzyć obiekty, uruchomić kod na serwerze z uprawnieniami użytkownika systemu, pod którym działa PostgreSQL. Błąd dotyczy typów złożonych: po zmianie typu pola serwer mógł odczytać starą wartość tak, jakby miała już nowy typ. Badacz Mehmet Ince opisał działający exploit na wersji 18.6, ale bez kodu ostatniego kroku. Projekt nie zgłosił ataków z użyciem luki, a CISA w rekordzie CVE również nie odnotowuje jej wykorzystania.

Kogo dotyczy

Wszystkie wersje PostgreSQL starsze niż 18.7, 17.12, 16.16, 15.20 i 14.25. Według Red Hat atakujący potrzebuje loginu do bazy z możliwością tworzenia lub modyfikowania obiektów.

Co zrobić

Zaktualizować PostgreSQL do wersji 18.7, 17.12, 16.16, 15.20 lub 14.25. Pełna ochrona przed tą luką wymaga też przebudowania rozszerzeń napisanych w języku C, które są zainstalowane na serwerze.

TAB. 2

Źródła

1
The Hacker News — PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCEthehackernews.com
TAB. 3

Powiązane

3
13.11.2026PodatnościAtaki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNP
13.11.2026PodatnościRed Hat Quay: luka CVE-2026-123710 pozwala czytać i podmieniać prywatne obrazy kontenerów
13.11.2026PodatnościLuka bez poprawki w platformie RMM, przejęto 21 serwerów także z najnowszą łatką

Wszystkie wpisy →

Blog 24/7
13.11Ataki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNPthehackernews.com13.11Gootloader otworzył drogę do 44 ataków ransomware, straty 28,8 mln dolarówtherecord.media13.11PostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerzethehackernews.com13.11Autopay potwierdza cyberatak i nieautoryzowany dostęp do części danych płatnościsekurak.pl13.11University of Texas at Arlington potwierdza kradzież danych po ataku gangu Qilintherecord.media13.11Quantum Systems potwierdza cyberatak: złośliwa aktualizacja QBase trafiła do klientówbleepingcomputer.com13.11Trezor: implanty w portfelach Safe 5 od resellera CryptoBilis kradną frazę odzyskiwaniathehackernews.com13.11Ransomware sparaliżował białoruskiego dostawcę chmury ActiveCloud na kilka dnitherecord.media13.11Fałszywy instalator GTA 6 z Google Colab kradnie hasła, konta Steam i kryptowalutyhelpnetsecurity.com13.11TSMC potwierdza wyciek danych pracowników z systemów dostawcy usług chmurowychtherecord.media