LONDON (IT BOLTWISE) – PostgreSQL schließt 52 Sicherheitslücken, darunter eine Type-Confusion, die mit einem CVSS-Score von 8,8 zu Authenticated Remote Code Execution (CVE-2026-6460) führen kann. Betroffen sind Versionen vor 18.7, 17.12, 16.16, 15.20 und 14.25. Die vollständige Absicherung erfordert zudem, C-Erweiterungen neu zu bauen oder zu aktualisieren, weil der Fix ansonsten nicht greift. Der Projektaufruf bleibt ohne formale Umgehungslösung – nach dem Update sind außerdem Reindex-Schritte empfohlen.
PostgreSQL bekommt ein neues Sicherheitspaket: Die Projektveröffentlichung schließt 52 Schwachstellen, darunter eine besonders dringliche Lücke mit der Kennung CVE-2026-6460. Zentral ist eine Type-Confusion im Umgang mit zusammengesetzten Datentypen (Composite Types), die es einem Datenbankbenutzer mit der Fähigkeit zum Erstellen von Objekten ermöglichen kann, Code auf dem Server auszuführen. Der CVSS-Score liegt bei 8,8; damit gehört die Lücke im aktuellen Fix-Release zu den höchstbewerteten Fällen. Laut den Angaben im CVE-Eintrag und in der dazugehörigen Bewertung gilt aktuell keine bestätigte Ausnutzung, CISA führt dort ebenfalls keine Exploitation als beobachtet auf.
Technisch betrachtet entsteht das Problem aus einem subtilen Lebenszyklus von Typen und gespeicherten Werten: PostgreSQL nutzt Composite Types, also Typen, die aus benannten Feldern bestehen, wobei jedes Feld wiederum einen eigenen Datentyp besitzt. Ein Feldtyp kann dabei geändert werden, während alte Werte dieses Typs noch an anderen Stellen im System vorgehalten werden. In der Folge kann der Server einen alten Speicherzustand fälschlich als neuen Typ interpretieren. Genau diese Diskrepanz öffnet den Weg für eine Kaskade bis hin zu einem Absturz- und danach missbrauchsfähigen Zustand – und damit zur Möglichkeit, letztlich Code mit den Rechten des Betriebssystembenutzers auszuführen, unter dem der PostgreSQL-Prozess läuft.
Die veröffentlichten Release- und Advisories liefern außerdem einen wichtigen Praxis-Hinweis für Betreiber: Vollständiger Schutz erfordert das Neubauen oder Aktualisieren aller C-language-Extensions, die auf dem System installiert sind. Der Grund ist simpel: Der Fix fügt Versionsprüfungen hinzu, damit PostgreSQL Werte erkennen kann, die nicht mehr zu den aktuell erwarteten Typdefinitionen passen. Wenn jedoch Erweiterungen weiterhin gegen ältere Schnittstellen bzw. Datenstrukturen gebaut wurden, können Teile des Sicherheitsmechanismus unzureichend greifen. Das Projekt macht klar, dass bereits geladene Erweiterungen zwar weiter funktionieren können, aber möglicherweise nicht gegen genau die in dieser Aktualisierung adressierten Schwachstellen abgesichert sind. Für manche Extensions werden zudem Quellcode-Anpassungen erforderlich sein, während gleichzeitig neu gebaute Extension-Pakete auf älteren Servern unter Umständen nicht mehr laden.
Konkreten Abdruck hinterlässt auch eine von dem Sicherheitsforscher Mehmet Ince dokumentierte Angriffsbahn: In der technischen Darstellung wird ein funktionierender Exploit gezeigt, der auf PostgreSQL 18.6 demonstriert wurde. Das Vorgehen beschreibt er als zweiteilige Kette: Zuerst bereitet der Angreifer eine Abfrage vor, die einen Wert hält; anschließend ändert er den Typ eines Felds dieses Werts und führt die Abfrage aus. In der veröffentlichten Beschreibung sind SQL-Snippets enthalten, die den Crash eines nicht gepatchten Servers auslösen, plus eine Folgestufe, die Speicheradressen preisgibt. Für die letzte Stufe, in der der Server einen Kommandoausführungs-Schritt anstößt, liefert die Quelle allerdings kein vollständiges SQL – dadurch bleibt die konkrete Umsetzung im öffentlichen Material eingeschränkt.
Damit rückt die Frage in den Mittelpunkt, welche Rechte für einen verlässlichen Angriff nötig sind. Das Projekt beschreibt den möglichen Angreifer im Advisory allgemein als jemanden, der Objekte erstellen kann, ohne die exakte Rollen- bzw. Privilegkonstellation zu spezifizieren. Red Hat, das PostgreSQL-Pakete ausliefert, nennt in seiner CVE-Bewertung als Voraussetzung eine Datenbankanmeldung mit der Fähigkeit, Objekte zu erstellen oder zu modifizieren. Gleichzeitig offenbart der Forschende in seiner Analyse die Zielrichtung: Er sagt, er könne den Crash als „lowest-privileged login role“ auslösen. Ob ein Konto mit nur Default-Privilegien über den Crash hinaus tatsächlich zu Codeausführung gelangt, bleibt in den vorliegenden Quellen damit eine offene Frage, die Betreiber in ihrer eigenen Umgebung über Privilegmodellierung prüfen sollten.
Operativ sollten Administratoren jetzt sofort die Update- und Betriebsdetails nachziehen: Ziel ist die Installation der Versionen 18.7, 17.12, 16.16, 15.20 oder 14.25 – jeweils passend zur Major-Version. Danach muss die Lage bei den Client-Tools stimmen: pg_dump, pg_restore, reindexdb und vacuumdb sollten auf allen Maschinen aktualisiert werden, die diese Komponenten verwenden. Zusätzlich wird empfohlen, die in der Release-Ankündigung beschriebenen Reindexing-Schritte auszuführen; bei inkrementellen Backups sollen Betreiber zudem ein neues Vollbackup erstellen und darauf aufbauend die späteren Inkremente abstützen. Ein weiteres Muss ist die Beachtung der Konfigurationsoptionen: Das neue composite_type_mismatch-Setting darf nicht dazu verwendet werden, die Prüfungen auszuschalten, weil das Projekt ausdrücklich Sicherheitsrisiken dafür nennt. Für Umgebungen, in denen ein sofortiges Update nicht möglich ist, liefert die Projektkommunikation außerdem keine klaren Workarounds – statt dessen wird die zeitnahe Migration in den Vordergrund gestellt.
Der Blick über CVE-2026-6460 hinaus zeigt, wie breit das Sicherheitspaket ausfällt. Neben dieser Type-Confusion gibt es weitere Fixes, einschließlich Schwachstellen in Client Tools: Ein präpariertes Archiv kann pg_restore zu Codeausführung im Kontext des ausführenden Users bringen; ebenso kann ein kompromittierter Source-Server psql über restore-scripts aus dem tar-Output von pg_dump missbrauchen. Besonders hervor sticht außerdem CVE-2026-116322: Diese Lücke erlaubt einem nicht authentifizierten Client, auf PostgreSQL 18 Servern einen Neustart auszulösen. Für Betreiber heißt das: Auch wenn der RCE-Fall die Aufmerksamkeit dominiert, bleibt das Update-Set als Ganzes wichtig. Und weil PostgreSQL 14 bereits end-of-life ist und 14.25 die letzte Veröffentlichung dieser Linie darstellt, ist das Zeitfenster für ältere Major-Versionen faktisch eng; wer länger wartet, sammelt nur mehr Angriffsfläche an.
Wichtig ist schließlich die Einordnung für den Betrieb in modernen Bereitstellungsszenarien: Ince berichtet, dass er seine Technik auch für Managed PostgreSQL Dienste angepasst hat und dafür im August privat mit Sicherheits-Teams zusammengearbeitet hat. In der Praxis bedeutet das auch für selbstverwaltete Systeme, dass nicht nur das Datenbank-Image, sondern das gesamte Ökosystem aus Paketen, Extensions und Deploymentschema betrachtet werden muss. Wenn PostgreSQL außerhalb der Paket-eigenen Service-Unit läuft, etwa unter Patroni, empfehlen Paketpfleger einen Neustart unmittelbar nach der Aktualisierung, damit der neue Extensions-Stand konsistent greift. Für Unternehmen ist das ein klarer Impuls, Sicherheits-Backlog und Deployment-Pipeline enger zu koppeln: Ein Update ohne Extension-Rebuild und Neustart kann im worst case genau die Schutzwirkung untergraben, die das Fix-Design vorgesehen hat.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PostgreSQL schließt 52 Sicherheitslücken – RCE über Type-Confusion (CVE-2026-6460)" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PostgreSQL schließt 52 Sicherheitslücken – RCE über Type-Confusion (CVE-2026-6460)" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PostgreSQL schließt 52 Sicherheitslücken – RCE über Type-Confusion (CVE-2026-6460)« bei Google Deutschland suchen, bei Bing oder Google News!