Sebuah celah keamanan kerancuan tipe data pada sistem PostgreSQL memungkinkan pengguna basis data yang memiliki wewenang membuat objek untuk menjalankan kode berbahaya secara langsung di server. Pembaruan yang digulirkan kemarin resmi memperbaiki celah tersebut bersamaan dengan penanganan 51 kerentanan keamanan lainnya. Selain itu, guna memperoleh proteksi secara menyeluruh dari gangguan ini, para pengelola sistem juga diwajibkan untuk mengompilasi ulang seluruh ekstensi bahasa C yang telah terpasang pada infrastruktur server mereka.
Kerentanan bersangkutan, yang kini dicatat resmi sebagai CVE-2026-6460, mengantongi tingkat keparahan skor CVSS 8.8. Setiap instruksi kode yang berhasil dieksekusi melalui metode ini nantinya akan langsung berjalan menggunakan hak akses dari akun sistem operasi pengendali mesin PostgreSQL. Seluruh versi yang dirilis sebelum generasi 18.7, 17.12, 16.16, 15.20, beserta 14.25 dinyatakan terdampak oleh ancaman berbahaya tersebut.
Pihak PostgreSQL Global Development Group selaku pengelola rilis perangkat lunak basis data ini menyatakan belum menerima laporan terkait insiden serangan nyata yang memanfaatkan celah tersebut di lapangan. Hasil evaluasi berkas dari lembaga CISA pada catatan CVE pun turut mengelompokkan status eksploitasi saat ini dalam taraf nihil atau belum terdeteksi.
Kelemahan teknis ini berpusat pada komponen tipe komposit, yaitu susunan tipe yang dibentuk dari serangkaian kolom bernama dengan tipe datanya masing-masing. Jenis tipe pada suatu kolom ternyata dapat diubah secara bebas ketika nilai-nilai lama dari tipe bersangkutan masih tersimpan di area lain pada mesin server.
Kondisi ini mengakibatkan server dapat keliru membaca nilai lama seolah-olah data tersebut telah menggunakan tipe yang baru disetel. Langkah perbaikan yang diuraikan pada catatan rilis resmi menambahkan mekanisme pemeriksaan versi khusus, sehingga sistem server mampu langsung mendeteksi keberadaan muatan nilai data yang sudah tidak lagi selaras dengan format tipenya.
Peneliti keamanan siber Mehmet Ince memaparkan rincian mekanisme eksploitasi fungsional atas celah ini, yang berhasil didemonstrasikan langsung pada sistem PostgreSQL versi 18.6 melalui tulisan teknis terbitan pekan ini.
Teknik yang dipakainya dimulai dengan merancang kueri khusus penyimpan nilai tertentu, memodifikasi tipe pada salah satu kolom nilai itu, lalu mengeksekusi kueri yang telah disiapkan tersebut. Publikasi itu turut menyertakan baris perintah SQL yang mampu membuat server tanpa tambalan mengalami crash serta trik tahap kedua guna membocorkan susunan alamat memori. Kendati demikian, panduan tersebut sengaja tidak memuat baris perintah SQL pada langkah pamungkas yang memaksa mesin server menjalankan perintah eksternal.
Ia menegaskan dalam catatannya bahwa ia berhasil “memicu kelumpuhan sistem ini hanya menggunakan peran masuk dengan tingkat wewenang paling rendah.” Sementara itu, dokumen nasihat keamanan dari tim pengembang proyek hanya mendefinisikan pelaku serangan sebagai pihak mana pun yang mampu membuat objek, tanpa merinci batas izin minimum yang sesungguhnya dibutuhkan.
Pihak Red Hat, yang bertindak selaku penyedia distribusi paket instalasi PostgreSQL, menerangkan lewat evaluasi CVE miliknya bahwa aktor peretas memerlukan akses masuk akun basis data yang disertai kewenangan membuat atau memodifikasi objek. Tidak ada satu pun dari rujukan informasi tersebut yang secara gamblang membeberkan apakah akun dengan hak izin standar bawaan dapat melangkah melampaui fase crash untuk benar-benar menjalankan kode sistem.
Ince mengidentifikasi muasal kelemahan perangkat lunak tersebut berakar pada perubahan sistem tertanggal 5 Mei 2004, saat PostgreSQL pertama kali memperkenalkan fitur perubahan tipe kolom. Sementara metode miliknya guna mengeksekusi instruksi sistem bergantung pada modifikasi struktur yang disematkan belakangan pada 14 Mei 2015.
Selain itu, ia turut menyesuaikan skenario eksploitasinya bagi layanan terkelola PostgreSQL serta membagikan bukti konsep pembobolan ini secara tertutup kepada jajaran tim keamanan mereka sepanjang bulan Agustus. Deretan penyedia layanan yang dihubungi olehnya mencakup AWS (Aurora dan RDS), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks, hingga Ubicloud. Laporan teknis yang dirilisnya tersebut tidak membeberkan status penambalan sistem dari masing-masing penyedia saat ini.
Kelompok pengembang proyek menyampaikan apresiasi resmi kepada belasan pelapor atas temuan celah CVE-2026-6460, termasuk sang peneliti, yang namanya turut tercatat dalam penemuan lima kelemahan keamanan lain pada edisi rilis terkini.
Tim proyek memberikan peringkat angka 8.8 pada 32 dari 52 kerentanan yang ditambal, yang menjadi tolok ukur skor tertinggi pada pengumuman kali ini. Berdasarkan daftar indeks kerentanan, hanya terdapat satu celah server yang dapat ditembus tanpa memerlukan proses masuk maupun keterlibatan pengguna sama sekali. Kerentanan bernomor CVE-2026-116322 tersebut membuka peluang bagi klien tanpa autentikasi untuk memicu proses restart mendadak pada seluruh server PostgreSQL 18.
Sejumlah perbaikan keamanan tambahan turut disematkan pada peralatan klien. Arsip manipulasi khusus berpotensi memaksa modul pg_restore mengeksekusi kode liar setara hak akses pengguna yang menjalankannya. Selain itu, komputer server sumber yang telah disusupi mampu memicu utilitas psql mengeksekusi instruksi melalui skrip pemulihan dalam muatan luaran berkas tar milik pg_dump.
Langkah yang Perlu Dilakukan Administrator
About the Author
