The Hacker Newsによると、PostgreSQLにおいてオブジェクト作成権限を持つユーザーがサーバー上で任意のコードを実行できる脆弱性（CVE-2026-6460、CVSS 8.8）を含む、計52件のセキュリティ修正が公開されました。PostgreSQL 18.7、17.12、16.16、15.20、14.25より前のバージョンが影響を受けます。攻撃にはデータベースへのログインが必要ですが、サーバーの更新に加えてC言語拡張機能の再ビルドや更新を行わないと保護が完了しないため、運用環境での早急な対処が求められます。
The Hacker News：PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCE
運用中のデータベース基盤に未適用の脆弱性や設定の不備が残っていないか不安な場合は、CyberCrewの脆弱性診断サービスをご検討ください。
この記事のポイント
影響のあるシステム
- PostgreSQL 18.7未満の各バージョン
- PostgreSQL 17.12未満の各バージョン
- PostgreSQL 16.16未満の各バージョン
- PostgreSQL 15.20未満の各バージョン
- PostgreSQL 14.25未満の各バージョン（14系は14.25をもってサポート終了）
- 未パッチのサーバー上で利用されているC言語拡張機能全般
- pg_restore、pg_dump、reindexdb、vacuumdbなどのクライアントツール
推奨される対策
- PostgreSQLサーバーを利用中のメジャーバージョンに応じた修正版（18.7、17.12、16.16、15.20、14.25）へ更新する
- サーバーに導入しているすべてのC言語拡張機能を再ビルドまたは提供元の最新版へ更新する
- Patroniなどパッケージ標準外のサービス単位で運用している場合は更新直後にプロセスを再起動する
- pg_dumpやpg_restoreをはじめとする管理・運用用のクライアントツールを最新版へ更新する
- サーバー側でcomposite_type_mismatch設定によるチェック無効化を行わない
- 更新後は公式アナウンスの手順に従ってリインデックスを実施し、増分バックアップ環境では完全バックアップを取り直す
この記事に出てくる専門用語
- CVE-2026-6460：PostgreSQLの複合型における型混乱の脆弱性です。今回の修正で最も深刻視されており、条件を満たすデータベース利用者がサーバー上でOS権限のコマンドを実行できてしまいます。
- 型混乱（Type Confusion）：あるデータ型として割り当てられたメモリ領域を、別のデータ型として誤って処理してしまう不具合です。今回の事案では、フィールドの型定義を変更した際に古い値が別の型として読み取られる問題として現れました。
- 複合型（Composite Types）：PostgreSQLにおいて複数の名前付きフィールドとデータ型を組み合わせて定義するユーザー独自の型です。この型の変更処理に脆弱性の原因が存在していました。
- C言語拡張機能（C-language extensions）：C言語で記述され、PostgreSQLの内部メモリに直接アクセスして処理を拡張する追加モジュールです。サーバー本体と密接に連携するため、本体更新時に再ビルドが必要となります。
PostgreSQLの型混乱により任意コードが実行される仕組み
The Hacker Newsによると、CVE-2026-6460は名前付きフィールドで構成される「複合型」の処理に存在する型混乱の欠陥です。サーバー内の別の領域に古い型の値が保持されている状態でフィールドの型が変更された場合、サーバーは古い値を新しい型として読み込んでしまいます。修正版ではバージョンチェックが追加され、型の定義と一致しない値の読み込みを検知して遮断する構造に改められました。
セキュリティ研究者のMehmet Ince氏は、PostgreSQL 18.6上で実証コードを構築し、値を保持したクエリを準備した後にフィールドの型を変更して実行する手法を示しました。この手法では unpatched サーバーをクラッシュさせ、メモリのアドレス情報を漏えいさせることが確認されています。Red Hatの評価によれば、悪用にはオブジェクトの作成や変更が可能なデータベースログイン権限が必要です。
私たちペネトレーションテスターの視点では、データベースへの接続権限を奪取された後にOSのコマンド実行へと権限を昇格されるシナリオが最も警戒すべき点です。Ince氏の調査では、問題の根本は2004年5月5日に列の型変更機能が追加された時点にあり、コード実行の手法は2015年5月14日の変更に依存しています。悪用が成功すると、PostgreSQLプロセスを実行しているOSユーザー権限で任意のコードが実行されます。
修正パッチに含まれる未認証サービス停止やツール側の脆弱性の内訳
The Hacker Newsによると、今回のアップデートでは合計52件の脆弱性が修正されており、そのうち32件に最大深刻度であるCVSS 8.8が割り当てられています。サーバー本体に対する欠陥のうち、ログインやユーザー操作を一切必要としないものはCVE-2026-116322の1件のみです。この欠陥は、未認証のクライアントが細工した通信を送ることでPostgreSQL 18サーバーを意図的に再起動させられます。
サーバー本体だけでなく、運用で常用されるクライアントツール側にも重大な修正が含まれています。細工されたアーカイブファイルを展開した際に実行ユーザーの権限でコードを動かしてしまうpg_restoreの脆弱性や、侵害された外部サーバーからpg_dumpのtar形式スクリプトを介してpsqlにコードを実行させる問題が修正対象となりました。
インフラ診断の現場でも、データベースサーバー本体のみを更新して踏み台サーバー上の運用ツールを古いまま放置しているケースが散見されます。バックアップやリストアを担当する運用端末やバッチ処理サーバーも攻撃対象になり得るため、クライアントツールのバージョン管理も分離せずに進める必要があります。
C言語拡張機能の再ビルドが必要となる技術的理由
The Hacker Newsによると、CVE-2026-6460に対する完全な防御を実現するには、サーバーのバイナリ更新と同時に導入済みのすべてのC言語拡張機能を再ビルドまたは更新する必要があります。RPMパッケージ保守担当者の告知では、古いリリース向けにビルドされた拡張機能もそのままロードはされるものの、今版で修正された脆弱性から保護されない可能性が指摘されています。
一部の拡張機能ではソースコード自体の修正が必要となるほか、新しいリリース向けに再ビルドされた拡張機能は古いバージョンのサーバー上では読み込みに失敗します。プロジェクト公式のRPMリポジトリにある拡張機能パッケージは、今回の新しいマイナーリリースを必須要件として要求する仕様に変更されました。
ここは運用現場で見落とされやすい盲点であり、拡張機能の追従を怠ると脆弱な内部処理がメモリ上に残存します。拡張モジュールを多用している環境では、ステージング環境で事前にビルド可否と互換性を確認したうえで本番適用のスケジュールを組む判断を下します。
PostgreSQL管理者がサーバーとクライアントで直ちに進めるべき更新手順
The Hacker Newsによると、今回の脆弱性にはパッチ未適用のサーバーに対する実行可能な回避策が存在しません。新設されたcomposite_type_mismatch設定を用いてチェック処理を無効化する運用は、セキュリティ上のリスクを伴うため避けるよう開発元が明示しています。管理者は自身が運用するメジャーバージョンに合わせ、18.7、17.12、16.16、15.20、または14.25へのアップデートを速やかに実施します。
PostgreSQL 14系統は今回のバージョン14.25をもって公式サポート終了（EOL）を迎えました。14以前の古いメジャーバージョンも今回の脆弱性の影響を受けますが、更新パッチは提供されていません。該当バージョンを使い続けている組織は、修正版の適用だけでなくサポートが継続している新しいメジャー系統への移行計画を直ちに策定する必要があります。
サーバー更新と拡張機能の更新を終えた後は、運用形態に応じた事後処理を進めます。Patroniなどのクラスタ管理ツール配下で動かしている場合は更新直後にプロセスの再起動を行い、公式アナウンスに従ってインデックスの再構築（reindex）を実施します。また、増分バックアップを運用している環境では、新しい完全バックアップを取得し、以降の増分処理をそのバックアップに紐付け直す作業を行います。
参考文献・記事一覧
外部からの侵入経路だけでなく、認証後に行われ得る権限昇格やコード実行リスクの網羅的な洗い出しには、CyberCrewの脆弱性診断サービスが有効です。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
