PostgreSQL 於 2026 年 11 月 12 日發布的安全更新 PostgreSQL Patches 52 Vulnerabilities, Including a Code Execution Flaw That Reportedly Dates Back Two Decades – Nationwide Private Investigator & Skip Tracing | Knoxville TN Background Checks & OSINT ，一次修補 52 個弱點，其中 CVE-2026-6460 被列為核心伺服器的型別混淆缺陷，CVSS 分數 8.8，屬於高嚴重度。這批更新涵蓋 14 到 18 全部受支援的主要版本，且是 PostgreSQL 14 分支的最後一次發布，對仍在使用舊版的企業來說，時間壓力相當明確。
核心缺陷的技術成因
根據 NIST NVD 收錄的官方摘要，CVE-2026-6460 是 PostgreSQL 的型別混淆問題，弱點類型為 CWE-843。系統對已儲存值的型別追蹤不足，值本身也不具備自我識別能力，導致過期或殘留的值可能出現在資料字典項目、PL/pgSQL 變數以及系統其他多處。攻擊者只要具備建立資料庫物件的權限，就能以執行資料庫的作業系統使用者身分執行任意程式碼，主要觸發路徑是 ALTER … SET DATA TYPE，官方摘要也提到其他 DDL 路徑同樣可行，例如 ALTER TABLE … ADD COLUMN 搭配 ROLLBACK 再重複執行的組合。外連報導指出，這個缺陷可追溯超過 20 年，且影響 14 到 18 所有受支援的主要版本。
另一個高風險編號與受影響範圍
同一批更新中還有 CVE-2026-6467，CVSS 分數 7.2，同樣屬於高嚴重度，弱點類型為 CWE-427 的搜尋路徑控制不當。官方摘要說明，具備資料庫層級 CREATE 權限的攻擊者可透過 ALTER SCHEMA … RENAME 或 CREATE EXTENSION … SCHEMA “$user” 等操作，以 bootstrap 超級使用者身分執行任意程式碼，ALTER EXTENSION 也受影響，問題出在受信任擴充腳本找到錯誤的物件並執行攻擊者指定的任意 SQL。受影響版本為 PostgreSQL 18.7、17.12、16.16、15.20 與 14.25 之前的版本。值得注意的是，NVD 對這兩個編號都未列出受影響產品欄位，版本範圍的判讀需以官方公告為準，讀者可對照文末附表確認分數與嚴重度。
修補方式與緩解作法
官方發布的更新版本為 18.7、17.12、16.16、15.20 與 14.25，請依自身主要版本對應升級。外連報導說明，小版本更新是累積式的，不需要傾印與重新載入，作法是停止 PostgreSQL、替換執行檔後重新啟動。若環境中有自訂的 C 語言擴充，必須同步重新編譯或更新。備份伺服器與管理工作站上的用戶端工具，例如 psql 與 pg_dump，也要一併更新，因為本次發布包含影響這些工具的修正。此外，專案新增的 composite_type_mismatch 檢查不應關閉，官方明確警告停用會帶來安全風險。對於無法即時更新的伺服器，專案表示沒有替代的繞道作法。
PostgreSQL 14 的最終版本
CyberQ 觀察，14.25 是 PostgreSQL 14 分支的最後一次發布，之後不再提供安全或錯誤修正。這代表仍執行 14 的環境在本次更新後就進入無支援狀態，必須開始規劃升級到受支援的主要版本。對照本次缺陷影響 14 到 18 全部主要版本，先升到 14.25 只能補上已知問題，長期仍需轉移到較新的分支。
CyberQ 觀點
請優先確認實例是否已升到對應的 18.7、17.12、16.16、15.20 或 14.25，並同步更新備份與管理端的用戶端工具。清查具備建立物件權限的帳號，因為這正是 CVE-2026-6460 的攻擊入口。不要關閉 composite_type_mismatch 檢查，並為 PostgreSQL 14 排定明確的升級時程。
CVE 漏洞資料核實
以下資料於撰文時直接查詢 NIST NVD 2.0 API（必要時輔以 CVE.org 鏡像）取得：
| CVE 編號 | CVSS 分數／嚴重度 | 公佈時間（UTC） | 受影響廠商／產品 | 弱點類型 | 官方摘要（原文節錄） | 參考連結 |
|---|---|---|---|---|---|---|
| CVE-2026-6460 | 8.8（HIGH） | 2026-11-12T15:17:51 | ， | CWE-843 | Type confusion in PostgreSQL allows an object creator to execute arbitrary code as the operating system user running the database, via ALTER … SET DATA TYPE primarily. Other DDL attack routes exist, such as “ALTER TABLE … ADD COLUMN，ROLLBACK，ALTER TABLE … ADD COLUMN”. The system had inadequate tracking of typed values, and values were not self-identifying. Stale values could appear in data dictionary entries, | https://www.postgresql.org/support/security/CVE-2026-6460/ |
| CVE-2026-6467 | 7.2（HIGH） | 2026-11-12T15:17:51 | ， | CWE-427 | Uncontrolled search path element in PostgreSQL CREATE EXTENSION allows an attacker with database-level CREATE privilege to execute arbitrary code as the bootstrap superuser, via ALTER SCHEMA … RENAME or CREATE EXTENSION … SCHEMA “$user”. ALTER EXTENSION was also affected. A trusted-extension script located the wrong object and executed arbitrary SQL of the attacker’s choice. Versions before PostgreSQL 18.7, 17.12 | https://www.postgresql.org/support/security/CVE-2026-6467/ |
