PostgreSQL vá 52 lỗ hổng, bao gồm lỗi 22 năm tuổi cho phép RCE
"PostgreSQL addressed 52 security vulnerabilities, including a 22-year-old type confusion flaw (CVE-2026-6460) allowing authenticated users to execute code on the server. Mitigation requires updating to versions 18.7, 17.12, 16.16, 15.20, or 14.25, and rebuilding C-language extensions. No active exploitation has been reported."
Lỗ hổng type confusion cho phép thực thi mã từ xa (RCE) với quyền của người dùng hệ điều hành. Đây là một vấn đề bảo mật nghiêm trọng.
Việc khai thác thành công có thể dẫn đến mất dữ liệu, gián đoạn dịch vụ, hoặc ảnh hưởng đến uy tín của doanh nghiệp. Chi phí khắc phục và phục hồi có thể đáng kể.
PostgreSQL vừa phát hành bản vá cho 52 lỗ hổng bảo mật, trong đó có một lỗi type confusion (CVE-2026-6460) tồn tại 22 năm, cho phép người dùng đã xác thực thực thi mã trên máy chủ. Các phiên bản 18.7, 17.12, 16.16, 15.20 và 14.25 đã được cập nhật để khắc phục. Việc vá lỗi này cũng yêu cầu biên dịch lại các extension C-language.
Lỗi CVE-2026-6460 có điểm CVSS 8.8. Mã thực thi sẽ có quyền của người dùng hệ điều hành chạy PostgreSQL. Hiện tại, nhóm phát triển chưa ghi nhận bất kỳ trường hợp khai thác nào. CISA cũng xác nhận chưa có khai thác thực tế.
Lỗi liên quan đến composite types, loại dữ liệu được xây dựng từ các trường có kiểu dữ liệu khác nhau. Khi kiểu dữ liệu của một trường thay đổi, các giá trị cũ vẫn còn trong bộ nhớ. Máy chủ có thể đọc các giá trị cũ như thể chúng có kiểu mới. Bản vá thêm kiểm tra phiên bản để phát hiện giá trị không khớp với kiểu dữ liệu.
Nghiên cứu viên Mehmet Ince đã công bố cách khai thác lỗi này trên PostgreSQL 18.6. Phương pháp của ông bao gồm tạo một truy vấn giữ giá trị, thay đổi kiểu dữ liệu của một trường, và chạy truy vấn đó. Ông có thể gây ra lỗi crash với quyền truy cập thấp nhất. Red Hat xác nhận kẻ tấn công cần quyền tạo hoặc sửa đổi đối tượng, nhưng chưa rõ quyền mặc định có đủ để khai thác hoàn toàn hay không.
Ince cho biết gốc rễ của lỗi bắt nguồn từ năm 2004, khi PostgreSQL cho phép thay đổi kiểu cột. Kỹ thuật khai thác dựa trên thay đổi năm 2015. Ông cũng đã chia sẻ proof-of-concept với các nhà cung cấp dịch vụ quản lý PostgreSQL như AWS, Microsoft, Google, Supabase, Databricks và Ubicloud vào tháng 8.
Câu hỏi thường gặp
CVE-2026-6460 là gì?
CVE-2026-6460 là một lỗ hổng type confusion trong PostgreSQL, cho phép người dùng đã xác thực thực thi mã trên máy chủ. Lỗ hổng này có điểm CVSS 8.8 và đã tồn tại trong 22 năm.
Các phiên bản PostgreSQL nào bị ảnh hưởng?
Tất cả các phiên bản trước 18.7, 17.12, 16.16, 15.20 và 14.25 đều bị ảnh hưởng bởi lỗ hổng này. PostgreSQL 14 đã hết vòng đời hỗ trợ.
Cần làm gì để khắc phục lỗ hổng?
Cần cập nhật PostgreSQL lên một trong các phiên bản được vá lỗi và biên dịch lại tất cả các extension C-language. Việc này đảm bảo bảo mật toàn diện.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc vá lỗi này đặc biệt quan trọng với các doanh nghiệp Việt Nam sử dụng PostgreSQL để lưu trữ dữ liệu nhạy cảm. Các công ty nên ưu tiên cập nhật lên phiên bản mới nhất và biên dịch lại các extension C-language. Điều đáng chú ý là lỗi tồn tại trong 22 năm, cho thấy tầm quan trọng của việc cập nhật thường xuyên. Các nhà phát triển nên kiểm tra và cập nhật các ứng dụng sử dụng PostgreSQL để đảm bảo an toàn.