CVE-2026-6460
CVSS 8.8 HIGH: type confusion in PostgreSQL allows an object creator to execute arbitrary code as the operating system user running the database, via ALTER ... EPSS 0.6% (49º percentile).
Vulnerabilità · 16 ore fa
PostgreSQL ha corretto 52 vulnerabilità; CVE-2026-6460 consente a un account capace di creare o modificare oggetti di eseguire codice sul server. L’aggiornamento del database da solo non chiude la falla: serve ricostruire anche le estensioni C installate.
Il difetto si verifica quando PostgreSQL conserva un valore creato con un vecchio tipo di campo e, dopo una modifica, lo interpreta come se avesse il nuovo tipo. Mehmet Ince ha dimostrato che un utente con quei privilegi può sfruttare questa confusione per far eseguire codice al server.
Le versioni corrette sono 18.7, 17.12, 16.16, 15.20 e 14.25; sono coinvolte le versioni precedenti delle rispettive serie. Il codice eseguito eredita i privilegi dell’account di sistema che avvia PostgreSQL, quindi l’impatto dipende anche dagli accessi concessi a quell’account. Il PostgreSQL Global Development Group non ha segnalato attacchi che sfruttino la falla.
CVSS 8.8 HIGH: type confusion in PostgreSQL allows an object creator to execute arbitrary code as the operating system user running the database, via ALTER ... EPSS 0.6% (49º percentile).
2 fonti che coprono questa storia
PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCE
PostgreSQL fixes 52 security flaws, including CVE-2026-6460, which allows users with object creation privileges to execute server code.
Zero Day Initiative Advisories
PostgreSQL pg_stat_statements Extension Heap-based Buffer Overflow Remote Code Execution Vulnerability Vulnerability Details This vulnerability allows remote attackers to execute arbitrary code on affected installations of PostgreSQL.
Part of the PlainSec briefing for 2026-11-14