Sebuah celah keamanan kerancuan tipe data pada PostgreSQL memungkinkan pengguna basis data yang memiliki wewenang membuat objek untuk mengeksekusi instruksi kode di peladen. Rangkaian pembaruan yang digulirkan kemarin mengatasi masalah tersebut, bersamaan dengan penanganan terhadap 51 celah keamanan lainnya. Perlindungan menyeluruh dari gangguan ini pun menuntut pengguna menyusun kembali seluruh modul ekstensi berbasis bahasa C yang terpasang di peladen.
Kelemahan teknis tersebut, yang diidentifikasi sebagai CVE-2026-6460, mengantongi nilai keparahan CVSS sebesar 8.8. Segala eksekusi kode yang dilancarkan lewat mekanisme ini bakal berjalan dengan izin akun sistem operasi pelaksana PostgreSQL. Seluruh varian perangkat lunak sebelum versi 18.7, 17.12, 16.16, 15.20, dan 14.25 dinyatakan rentan terimbas insiden tersebut.
Pihak PostgreSQL Global Development Group, yang bertindak sebagai pengelola rilis perangkat lunak basis data ini, menyatakan belum menemukan adanya serangan yang memanfaatkan cacat program tersebut. Laporan evaluasi CISA pada arsip CVE resmi pun turut mengelompokkan riwayat eksploitasi di status nihil.
Permasalahan ini berpusat pada komponen tipe komposit, yaitu bentuk struktur data yang tersusun dari kolom-kolom bernama dengan spesifikasi tipe datanya masing-masing. Jenis tipe dari sebuah kolom ternyata dapat dimodifikasi saat representasi nilai lamanya masih tersimpan pada bagian internal mesin peladen lainnya.
Akibatnya, mesin sistem peladen berpotensi memproses nilai usang tersebut seolah-olah telah mengadopsi format tipe yang anyar. Solusi perbaikan yang dimuat dalam catatan rilis proyek menambahkan mekanisme validasi versi, sehingga perangkat peladen sanggup mengidentifikasi nilai entitas yang tidak lagi selaras dengan struktur formatnya.
Peneliti keamanan siber Mehmet Ince memaparkan bukti eksploitasi aktif atas kerentanan tersebut, yang dibuktikan langsung melalui instalasi PostgreSQL 18.6, dalam sebuah tulisan kajian teknis yang diunggah pekan ini.
Skema yang ia terapkan yakni menyiapkan perintah kueri penampung suatu nilai, mengubah definisi tipe pada salah satu kolom data tersebut, lalu menjalankan kueri itu. Kajian tersebut menyertakan baris instruksi SQL yang dapat melumpuhkan sistem peladen tanpa tambalan, sekaligus langkah kedua yang membocorkan data alamat memori. Tulisan itu tidak menyertakan perintah SQL untuk tahapan pemungkas yang memaksa peladen mengeksekusi instruksi sistem.
Dalam laporannya, ia menyebutkan keberhasilannya memicu kelumpuhan sistem ini, “trigger this crash as a lowest-privileged login role.” Kendati demikian, buletin resmi pengembang hanya mengklasifikasikan pihak penyerang sebagai sosok yang memiliki wewenang membikin objek basis data, tanpa menguraikan detail hak akses persisnya.
Perusahaan Red Hat, selaku distributor paket instalasi PostgreSQL, menyebutkan dalam catatan tinjauan CVE miliknya bahwa pihak peretas membutuhkan akses masuk basis data dengan kewenangan membuat atau mengubah objek. Tidak ada satu pun dari rujukan informasi ini yang memastikan apakah akun pengguna berizin standar mampu melangkah melampaui fase kelumpuhan sistem untuk mengeksekusi kode.
Ince mengidentifikasi akar kelemahan fungsional ini bermula sejak tanggal 5 Mei 2004, yakni masa ketika sistem PostgreSQL pertama kali memperoleh fitur modifikasi tipe kolom. Trik yang ia kembangkan guna menjalankan perintah kode sangat bersandar pada modifikasi lanjutan yang diterapkan pada 14 Mei 2015.
Ia juga memodifikasi metode eksploitasi ini untuk layanan terkelola PostgreSQL serta membagikan skenario pembuktian konsep secara tertutup kepada jajaran divisi keamanan mereka pada bulan Agustus. Barisan penyedia infrastruktur yang diajak berkoordinasi mencakup AWS (Aurora dan RDS), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks, hingga Ubicloud. Laporan kajian itu tidak membeberkan status penambalan terkini dari masing-masing entitas penyedia layanan komputasi awan tersebut.
Manajemen proyek secara terbuka mengapresiasi kontribusi lebih dari selusin penemu kerentanan terkait pelaporan CVE-2026-6460, termasuk sang peneliti keamanan, sembari mencantumkan namanya pada lima temuan celah keamanan lain di pembaruan yang sama.
Komunitas pengembang menyematkan peringkat skor 8.8 pada 32 dari 52 celah yang ada, yang merupakan nilai keparahan tertinggi dalam rilis ini. Mengacu daftar indeks kerentanan, hanya terdapat satu celah pada peladen yang sama sekali tidak mensyaratkan proses masuk sistem ataupun interaksi pengguna. Bug berkode CVE-2026-116322 tersebut membuka peluang bagi klien tanpa autentikasi untuk memicu proses pemuatan ulang sistem pada peladen PostgreSQL 18.
Beberapa perbaikan pelengkap lainnya diaplikasikan langsung pada perkakas klien. Berkas arsip yang dimanipulasi secara khusus sanggup membuat pg_restore menjalankan instruksi kode dengan hak akses pengguna yang menjalankannya. Selain itu, sebuah peladen sumber yang terkompromi bisa memerintahkan utilitas psql untuk mengeksekusi kode perusak melalui skrip pemulihan dalam keluaran berkas tar milik pg_dump.
