PostgreSQL Tambal 52 Celah, Termasuk Bug 22 Tahun yang Bisa RCE

PostgreSQL Global Development Group merilis pembaruan darurat yang menambal 52 celah keamanan, termasuk CVE-2026-6460—flaw type confusion berusia 22 tahun yang memungkinkan pengguna database dengan hak istimewa menengah mengeksekusi kode di server.

Kronologi dan Detail CVE-2026-6460

CVE-2026-6460 pertama kali dilaporkan oleh peneliti keamanan Mehmet Ince, yang mempublikasikan writeup teknis pekan ini. Flaw ini mendapatkan skor CVSS 8,8 dan memengaruhi semua versi PostgreSQL sebelum 18.7, 17.12, 16.16, 15.20, dan 14.25. Dalam laporan resminya, PostgreSQL Global Development Group menyatakan belum ada laporan serangan yang mengeksploitasi celah ini. Penilaian CISA dalam catatan CVE juga mencantumkan status eksploitasi sebagai "none".

Ince melacak akar masalahnya hingga 5 Mei 2004, saat PostgreSQL pertama kali memperkenalkan kemampuan mengubah tipe kolom. Teknik eksekusi kode yang ia kembangkan bergantung pada perubahan lain yang dilakukan pada 14 Mei 2015. "Saya dapat memicu crash ini sebagai role login dengan hak istimewa paling rendah," tulis Ince dalam laporannya.

Meski demikian, advisory keamanan proyek hanya menyebut penyerang sebagai "seseorang yang dapat membuat objek" tanpa merinci hak istimewa spesifik yang dibutuhkan. Red Hat, dalam penilaian CVE-nya, menyatakan bahwa penyerang memerlukan login database dengan kemampuan membuat atau memodifikasi objek. Tidak ada sumber yang secara eksplisit menyebut apakah akun dengan hak istimewa default saja bisa melampaui crash untuk mengeksekusi kode.

Pihak yang Terlibat dan Pernyataan Mereka

Mehmet Ince bukan satu-satunya peneliti yang terlibat. Proyek PostgreSQL memberikan kredit kepada lebih dari selusin pelapor untuk CVE-2026-6460, termasuk Ince sendiri. Ia juga disebut berjasa atas lima celah lain dalam rilis yang sama. Ince mengadaptasi eksploit untuk layanan PostgreSQL terkelola dan membagikan proof of concept secara privat kepada tim keamanan penyedia pada Agustus.

Penyedia yang bekerja sama dengannya meliputi AWS (Aurora dan RDS), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks, dan Ubicloud. Writeup tersebut tidak menyebutkan status patch masing-masing layanan saat ini.

Dalam catatan repositori paket RPM proyek, maintainer memperingatkan bahwa ekstensi yang dibangun untuk rilis lama masih dapat dimuat tetapi "mungkin tidak terlindungi dari kerentanan yang diperbaiki dalam rilis ini." Mereka juga menambahkan bahwa beberapa ekstensi memerlukan perubahan kode sumber.

Latar Belakang Teknis: Type Confusion dan Dampaknya

Inti dari CVE-2026-6460 adalah type confusion pada composite types—tipe data yang dibangun dari field-field bernama, masing-masing dengan tipe data sendiri. Sebuah field dapat diubah tipenya saat nilai lama dari tipe tersebut masih disimpan di bagian lain server. Server kemudian dapat membaca nilai lama seolah-olah memiliki tipe baru, sehingga memicu eksekusi kode dengan hak akses pengguna sistem operasi yang menjalankan PostgreSQL.

Perbaikan yang dijelaskan dalam catatan rilis menambahkan pemeriksaan versi agar server dapat mendeteksi nilai yang tidak lagi cocok dengan tipenya. Sayangnya, proyek tidak menyediakan workaround untuk server yang belum dapat diperbarui. Satu-satunya solusi adalah melakukan pembaruan.

Dari 52 celah yang ditambal, 32 di antaranya dinilai dengan skor 8,8—skor tertinggi dalam rilis ini. Berdasarkan indeks kerentanan proyek, hanya satu celah di server yang tidak memerlukan login maupun tindakan pengguna: CVE-2026-116322, yang memungkinkan klien tanpa autentikasi memicu restart pada server PostgreSQL 18.

Beberapa perbaikan lain menyangkut alat klien. Arsip yang dibuat secara khusus dapat membuat pg_restore menjalankan kode sebagai pengguna yang menjalankannya. Server sumber yang terkompromi dapat membuat psql menjalankan kode melalui skrip restore dalam output tar pg_dump.

Dampak dan Langkah Mitigasi

Dampak dari celah ini sangat serius karena memungkinkan eksekusi kode jarak jauh dengan hak akses sistem operasi. Namun, eksploitasi memerlukan autentikasi sebagai pengguna database yang memiliki hak istimewa tertentu. Meski demikian, kombinasi dengan celah lain atau konfigurasi yang lemah dapat meningkatkan risiko.

PostgreSQL 14 kini telah mencapai akhir masa dukungan (end-of-life), dan 14.25 adalah rilis terakhirnya. Versi major yang lebih lama juga terpengaruh dan tidak menerima pembaruan. Pengguna diimbau untuk segera beralih ke versi yang masih didukung.

Berikut langkah-langkah yang harus dilakukan administrator:

• Perbarui server ke versi 18.7, 17.12, 16.16, 15.20, atau 14.25 sesuai dengan major version yang digunakan.
• Bangun ulang atau perbarui setiap ekstensi bahasa C bersamaan dengan pembaruan server. Ekstensi yang dibangun untuk rilis lama masih dimuat tetapi mungkin tidak terlindungi dari kerentanan yang diperbaiki.
• Jika PostgreSQL berjalan di luar unit layanan paketnya, misalnya di bawah Patroni, restart segera setelah pembaruan.
• Perbarui alat klien seperti pg_dump, pg_restore, reindexdb, dan vacuumdb di setiap mesin yang menjalankannya.
• Jangan menggunakan pengaturan composite_type_mismatch yang baru untuk mematikan pemeriksaan. Proyek menyatakan tindakan tersebut membawa risiko keamanan.
• Setelah pembaruan, ikuti langkah reindexing dalam pengumuman rilis. Jika menggunakan incremental backup, ambil backup penuh baru dan dasarkan incremental backup berikutnya pada backup tersebut.

Reaksi dan Langkah Selanjutnya

Hingga berita ini diturunkan, belum ada pernyataan resmi dari penyedia layanan cloud yang disebutkan mengenai status patch mereka. Namun, mengingat sifat celah yang memungkinkan eksekusi kode, pembaruan diperkirakan akan segera didistribusikan. Pengguna PostgreSQL diimbau untuk tidak menunda pembaruan, terutama bagi yang menjalankan versi 14 ke bawah yang sudah tidak didukung.

PostgreSQL Global Development Group juga menekankan pentingnya membaca catatan rilis secara menyeluruh karena beberapa perbaikan mungkin memerlukan penyesuaian konfigurasi atau ekstensi. Langkah-langkah reindexing dan backup penuh harus diikuti untuk memastikan integritas data setelah pembaruan.

Dengan skor CVSS 8,8 dan potensi dampak yang luas, CVE-2026-6460 menjadi pengingat bahwa bahkan bug lama sekalipun dapat menjadi vektor serangan yang berbahaya jika tidak segera ditangani. Organisasi yang menggunakan PostgreSQL perlu memprioritaskan pembaruan ini dalam siklus pemeliharaan mereka.

Analisis Redaksi

Kisah CVE-2026-6460 adalah contoh klasik bagaimana celah keamanan yang tampak sepele dapat berkembang menjadi ancaman serius selama bertahun-tahun. Selama 22 tahun, fitur yang tampaknya tidak berbahaya—kemampuan mengubah tipe kolom—menyimpan potensi type confusion yang baru terungkap sekarang. Ini menunjukkan bahwa audit keamanan tidak boleh berhenti pada kode baru; kode lama pun perlu ditinjau ulang, terutama yang menyangkut manipulasi tipe data.

Yang lebih mengkhawatirkan, eksploitasi tidak memerlukan hak istimewa superuser. Cukup dengan kemampuan membuat objek, seorang pengguna database dapat memicu crash hingga berpotensi mengeksekusi kode. Dalam lingkungan multi-tenant atau layanan cloud, di mana banyak pengguna berbagi satu server, ini adalah risiko yang tidak dapat diabaikan. Penyedia layanan seperti AWS, Microsoft, dan Google perlu memastikan patch diterapkan secara menyeluruh, bukan hanya pada lapisan server tetapi juga pada ekstensi yang mungkin sudah usang.

Respons PostgreSQL Global Development Group patut diapresiasi karena merilis pembaruan untuk lima versi major sekaligus, meskipun versi 14 harus pensiun. Namun, keputusan untuk tidak menyediakan workaround bagi server yang belum dapat diperbarui meninggalkan celah bagi organisasi dengan siklus pemeliharaan yang lambat. Di sinilah peran komunitas dan vendor pihak ketiga menjadi krusial untuk membantu migrasi atau memberikan solusi sementara. Pada akhirnya, keamanan database bukan hanya tanggung jawab pengembang, tetapi juga administrator sistem yang harus disiplin dalam menerapkan pembaruan.

Sumber: thehackernews.com, postgresql.org