PostgreSQL corrige 52 falhas, incluindo execução remota de código de 22 anos

O PostgreSQL recebeu atualizações para 52 falhas, entre elas a CVE-2026-6460, avaliada em 8,8 no CVSS. Segundo a cobertura disponível, um usuário autenticado com permissão para criar objetos poderia explorar a falha para executar código no servidor. A proteção completa também exige recompilar extensões instaladas escritas em C.[1]PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCEthehackernews.com · rssAbrir fonte originalVer na lista de fontes

A CVE-2026-6460 foi descrita como uma confusão de tipos no núcleo do PostgreSQL. O cenário divulgado começa com a criação de um tipo composto, passa pelo armazenamento de uma consulta preparada e pela alteração posterior do tipo de um campo, fazendo o banco interpretar uma representação binária antiga segundo o novo tipo.[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes[3]prepared statements prevents SQLi. But it also helped me to exploit a 22 years old PostgreSQL 0-day RCE (CVE-2026-6460)mehmetince.net · rssAbrir fonte originalVer na lista de fontes

O relato atribui ao pesquisador Mehmet Ince a construção de recursos para ler e escrever memória, revelar endereços e contornar o ASLR, uma defesa que embaralha a localização dos dados na memória. Ele teria usado essa cadeia para demonstrar execução arbitrária de código no PostgreSQL 18.6.[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

O impacto ultrapassa as permissões internas do banco: a exploração bem-sucedida poderia executar código com os direitos da conta de sistema operacional usada pelo PostgreSQL. Isso abriria caminho para acessar dados de outros usuários, arquivos e segredos disponíveis ao processo do banco.[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes[1]PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCEthehackernews.com · rssAbrir fonte originalVer na lista de fontes

O risco é relevante porque o cenário descrito não exige uma conta de superusuário. Ainda assim, não se trata de acesso remoto sem credenciais: o invasor precisaria de uma conta autenticada que pudesse criar objetos no banco.[4]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

Aplique as versões corrigidas do PostgreSQL e identifique extensões em linguagem C instaladas no servidor. A cobertura afirma que somente atualizar o banco pode ser insuficiente e que essas extensões precisam ser recompiladas para completar a proteção contra a falha.[1]PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCEthehackernews.com · rssAbrir fonte originalVer na lista de fontes[4]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Como medida de redução de risco, revise quais contas conseguem criar tipos e outros objetos e remova essa capacidade quando ela não for necessária. Essa recomendação decorre do pré-requisito de exploração descrito, não de uma instrução explícita reproduzida no lote.[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes[4]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

As evidências identificam a falha como CVE-2026-6460, indicam pontuação CVSS 8,8 e descrevem um ataque demonstrado contra o PostgreSQL 18.6. Também há uma página de segurança dedicada à vulnerabilidade no domínio oficial do projeto.[5]postgresql.orgpostgresql.org · rssAbrir fonte originalVer na lista de fontes[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

O lote não informa se houve exploração maliciosa no mundo real, quais versões corrigidas devem ser instaladas nem quais extensões específicas precisam ser recompiladas. Também não oferece dados para medir quantos servidores estão expostos.[1]PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCEthehackernews.com · rssAbrir fonte originalVer na lista de fontes[5]postgresql.orgpostgresql.org · rssAbrir fonte originalVer na lista de fontes

O título publicado no site de Mehmet Ince diz que consultas preparadas, normalmente usadas para evitar injeção de SQL, também o ajudaram a explorar a vulnerabilidade de execução remota de código.[3]prepared statements prevents SQLi. But it also helped me to exploit a 22 years old PostgreSQL 0-day RCE (CVE-2026-6460)mehmetince.net · rssAbrir fonte originalVer na lista de fontes

The Hacker News destacou que o PostgreSQL corrigiu 52 falhas e alertou que aplicar o patch, sozinho, talvez não baste. Já a conta ptdbugs atribuiu a Ince a demonstração da cadeia completa de exploração.[4]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

A sequência das publicações começa com o artigo técnico de Ince sobre a CVE-2026-6460. Depois vieram registros e resumos sobre a falha e, por fim, a cobertura mais recente sobre o pacote de 52 correções e a necessidade adicional de recompilar extensões em C.[3]prepared statements prevents SQLi. But it also helped me to exploit a 22 years old PostgreSQL 0-day RCE (CVE-2026-6460)mehmetince.net · rssAbrir fonte originalVer na lista de fontes[6]dbu.gsdbu.gs · rssAbrir fonte originalVer na lista de fontes[1]PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCEthehackernews.com · rssAbrir fonte originalVer na lista de fontes

A falha é apresentada como existente desde 2004, portanto há cerca de 22 anos. Essa antiguidade é uma atribuição das publicações do lote, não uma conclusão independente baseada no histórico do código.[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes[1]PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCEthehackernews.com · rssAbrir fonte originalVer na lista de fontes

4 grupos independentes, 4 atualizações e 14 interações. Comunidades observadas: r/netsec.

Na demonstração relatada, o pesquisador criou um tipo composto com um campo UUID e preparou uma consulta. Em seguida, mudou esse campo para bytea e executou a consulta já preparada. O PostgreSQL teria preservado a representação binária anterior, mas passado a tratá-la como o novo tipo, provocando interpretação incorreta de ponteiros e corrupção de memória.[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes

A corrupção de memória teria sido transformada em primitivas de leitura e escrita, isto é, capacidades controladas para consultar ou alterar posições de memória. Com a revelação de endereços para vencer o ASLR, a cadeia teria chegado à execução arbitrária de código.[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes[3]prepared statements prevents SQLi. But it also helped me to exploit a 22 years old PostgreSQL 0-day RCE (CVE-2026-6460)mehmetince.net · rssAbrir fonte originalVer na lista de fontes

A base inclui o artigo do pesquisador, uma página de segurança no domínio oficial do PostgreSQL, registros da dbugs e cobertura jornalística. No material fornecido, porém, somente a cobertura do The Hacker News e a publicação da ptdbugs trazem descrições textuais substanciais; os demais itens aparecem principalmente como metadados e links.[3]prepared statements prevents SQLi. But it also helped me to exploit a 22 years old PostgreSQL 0-day RCE (CVE-2026-6460)mehmetince.net · rssAbrir fonte originalVer na lista de fontes[5]postgresql.orgpostgresql.org · rssAbrir fonte originalVer na lista de fontes[1]PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCEthehackernews.com · rssAbrir fonte originalVer na lista de fontes

Por essa limitação, os detalhes da exploração, a presença da falha desde 2004 e o alcance sobre ambientes em nuvem permanecem atribuídos às fontes que os relataram. A existência da página oficial da CVE reforça que há um registro de segurança, mas seu conteúdo não foi reproduzido no lote para confirmar cada detalhe técnico.[5]postgresql.orgpostgresql.org · rssAbrir fonte originalVer na lista de fontes[2]ptdbugsx.com · ptdbugs · xAbrir fonte originalVer na lista de fontes