CVE-2026-6471Patch(postgresql / postgresql)

🛡️ 12-Year-Old PostgreSQL Flaw Lets Attackers Execute Code on Database Servers Flaw Details: https://cybersecuritynews.com/12-year-old-postgresql-flaw/ A newly disclosed PostgreSQL vulnerability, tracked as CVE-2026-6471 and nicknamed PostGREShell, could allow attackers with low-level replication access to execute arbitrary code on database servers. The flaw in PostgreSQL logical decoding existed for roughly 12 years and has now been fixed in supported releases. PostgreSQL is widely used to store business data, application records, customer details, financial information, and cloud workloads. The vulnerability is especially concerning because it affects an account type commonly used for backups, replication, disaster recovery, and change data capture operations. #cybersecuritynews

🔴 PostgreSQL'de 12 yıldır bulunan kritik bir güvenlik açığı ortaya çıktı! CVE-2026-6471 (PostGREShell), REPLICATION yetkisine sahip bir saldırganın logical decoding mekanizmasını kötüye kullanarak PostgreSQL sunucusunda işletim sistemi seviyesinde kod çalıştırmasına ve veritabanını ele geçirmesine yol açabiliyor. Açık, PostgreSQL 9.4'ten beri bulunuyordu. PostgreSQL 14–18 kullanıcılarının -> 14.24 / 15.19 / 16.15 / 17.11 / 18.6 sürümlerine güncellenmesi öneriliyor. Changelog: https://www.postgresql.org/docs/release/18.6/ Write-up: https://www.cyera.com/research/postgreshell-the-database-powering-much-of-the-internet-had-an-open-door-for-12-years

PostgreSQL soluciona un fallo de decodificación lógica de hace 12 años que permitía la ejecución de código mediante el rol de replicación PostgreSQL lanzó actualizaciones para corregir la vulnerabilidad CVE-2026-6471, que permitía a usuarios con atributos de replicación https://blog.elhacker.net/2026/09/postgresql-soluciona-un-fallo-de.html

🚨 12-year-old PostgreSQL flaw can turn a low-privileged replication account into full server compromise. CVE-2026-6471 (PostGREShell) enables attackers to bypass PostgreSQL's library-loading restrictions and execute arbitrary code through logical replication. ⚠️ RCE ⚠️ Privilege escalation ⚠️ Persistent backdoor ⚠️ Windows SMB / Linux & macOS NFS attack paths ⚠️ PostgreSQL 9.4–18 affected Patched versions: 18.6, 17.11, 16.15, 15.19, 14.24 Full technical breakdown + exploit chain + remediation 👇 🔗 https://thecybersecguru.com/exploits/cve-2026-6471-postgresql-postgreshell-rce/ #CyberSecurity #PostgreSQL #CVE20266471 #RCE #InfoSec #DatabaseSecurity #Vulnerability The core impact and affected/fixed versions are corroborated by PostgreSQL's security advisory and current reporting.

PostgreSQL CVE-2026-6471。12年間潜んでいた欠陥です。 REPLICATION権限を持つ認証情報を奪われると、論理デコードが有効な環境では、PostgreSQLが外部連携用プラグインを読み込む仕組みを悪用され、攻撃者のコードをpostgresプロセス内で実行される可能性があります。 Windowsではさらに、DBサーバーから外向き445が通れば、UNCパス経由で攻撃者側のDLLを読み込ませることも可能。 バックアップ、CDC、レプリケーションなどで使うREPLICATION権限が、サーバー乗っ取りの入口になり得ます。 この欠陥はPostgreSQL 9.4以降に存在。 修正版: 18 → 18.6 17 → 17.11 16 → 16.15 15 → 15.19 14 → 14.24 13以前はEOLなので、サポート中のmajorへの移行が必要です。 まずできる対策は、PostgreSQLの待受ポートを絞ること。 通常はTCP/5432です。 ・5432をインターネットへ公開しない ・CDC、バックアップ、レプリカなど必要な接続元だけに限定 ・pg_hba.confのreplication行も既知IPだけに絞る ・REPLICATION属性を棚卸しし、不要なアカウントから剥がす ・DBサーバーから不要な外向き445/2049を遮断 5432を必要な接続元だけに限定すれば、外部からこの脆弱性を突かれる経路を大きく減らせます。 つまり、すぐにバージョンアップできない環境でも有効な緩和策になります。 ただし、許可したCDCサーバーなどが侵害された場合は経路が残るため、恒久対策は修正版への更新です。 更新時にはもう1点注意。 今回の修正版では、output pluginとして読み込めるライブラリを output_plugin_libraries という許可リストで制限する仕組みが追加されています。 wal2jsonなど標準以外のoutput pluginを使っている環境では、更新後に許可リストへの追加が必要です。 そして、パッチを当てるだけで終わらせない。 入られていないか確認: ・pg_replication_slotsのpluginに / \ .. など不自然なパスがないか ・REPLICATION用アカウントが意図せずsuperuserになっていないか ・pg_hba.conf / shared_preload_librariesに身に覚えのない変更がないか ・ログに不審なCREATE_REPLICATION_SLOTや異常なplugin名がないか レプリケーションスロットとは、CDCやレプリケーションで「どこまで変更履歴を読み終えたか」をPostgreSQLが記録しておく仕組みです。 今回の攻撃では、そのスロットを作る際に指定するoutput pluginの仕組みが悪用されます。 ただし、攻撃者が作ったスロットは後から削除できます。 つまり、 「今のpg_replication_slotsが正常＝過去に悪用されていない」 とは限りません。 現在の状態だけでなく、ログと設定変更履歴まで確認する必要があります。 #PostgreSQL #セキュリティ #脆弱性

Legacy software is low risk if air-gapped. A 12-year-old PostgreSQL flaw (CVE-2026-6471) still enables full server takeover via replication access. #CyberAwareness #CyberSecurity

PostgreSQLに、Replication権限を持つ低権限アカウントから任意ファイルを読み込み、RCEや恒久的なDBスーパーユーザー権限取得につながる脆弱性「CVE-2026-6471」が見つかった。 Cyeraによると、論理デコードの出力プラグイン名が検証されず、そのままdlopen()へ渡されるため、攻撃者はフルパスや../を含む名前を指定して共有ライブラリを読み込ませられる。 読み込まれたコードはpostgresプロセス権限で実行され、内部APIを使ってbootstrap superuserとなり、pg_authidを書き換えて恒久的なスーパーユーザー権限を得られるという。OSコマンド実行、秘密鍵の読み取り、ファイル書き込み、パスワード不要接続や再感染用バックドアの設置も可能とされる。 影響範囲はPostgreSQL 9.4から18までで、Cyeraは18.2でも確認した。修正版は18.6、17.11、16.15、15.19、14.24である。 https://www.securityweek.com/12-year-old-postgresql-vulnerability-enables-database-server-takeover/

PostGREShell: A 12-Year-Old PostgreSQL Vulnerability Turns REPLICATION Access into RCE Read on dbugs: https://dbu.gs/news/postgreshell-a-12-year-old-postgresql-vulnerability-turns-replication-access-into-rce-20260909 Researcher Vladimir Tokarev from Cyera Research disclosed details of CVE-2026-6471 (https://dbu.gs/vulnerability/CVE-2026-6471) (PostGREShell), a PostgreSQL vulnerability that has existed since version 9.4 (2014). It allows an account with the "REPLICATION" privilege to load an arbitrary library and execute code in the PostgreSQL process. The issue lies in the logical decoding mechanism. When creating a logical replication slot, the client specifies an output plugin—a compiled library (".so", ".dll", ".dylib") that PostgreSQL loads into its process. For the SQL "LOAD" command, PostgreSQL restricts library loading through "check_restricted_library_name()". However, this check was not performed in the replication path: the output plugin name was passed directly to the loader, while the replication protocol parser accepted path components including "/", "\", "../", and even Windows UNC paths. As a result, an attacker can specify a path to their own library and have it loaded via "dlopen()" or "LoadLibrary()". On Windows, the attack can be fully remote if the following conditions are met: • A PostgreSQL account with "REPLICATION"; • "wal_level = logical"; • Outbound SMB/445 connectivity from the server to the attacker. A UNC path such as" \\attacker\share\evil.dll" can be specified as the plugin. When PostgreSQL calls "LoadLibrary()", Windows connects to the attacker's SMB server and loads the DLL directly into the PostgreSQL process — nothing needs to be placed on the target filesystem beforehand. On Linux/macOS, a similar scenario is possible through NFS when "/net" automount is active. In typical Linux/Docker/Kubernetes environments, the attacker additionally needs a way to write a ".so" file to a filesystem accessible to PostgreSQL. The loaded code executes with the privileges of the "postgres" system user. In their PoC, the researchers use an internal PostgreSQL function to become the bootstrap superuser for the current session, then directly modify "pg_authid" to make PostgreSQL superuser privileges persistent. The vulnerable path was introduced with logical decoding in PostgreSQL 9.4 and remained exposed for approximately 12 years. Cyera also found 114 malicious PostgreSQL plugins on VirusTotal, including trojans, cryptocurrency miners, and reverse shells. However, this does not prove that CVE-2026-6471 has been exploited in real-world attacks. To mitigate the vulnerability, install the PostgreSQL security update, audit accounts with "REPLICATION", remove the privilege where it is not strictly required, restrict the remaining accounts to known trusted IPs via "pg_hba.conf", and block unnecessary outbound SMB/445 and NFS/2049 traffic from PostgreSQL servers. Article: https://www.cyera.com/research/postgreshell-the-database-powering-much-of-the-internet-had-an-open-door-for-12-years CVE-2026-6471 — PT-2026-71490: https://dbu.gs/vulnerability/PT-2026-71490

ช่องโหว่เก่ากว่า 12 ปีของ PostgreSQL ทำให้แฮ็กเกอร์สามารถเข้าควบคุมฐานข้อมูล และเซิร์ฟเวอร์ได้ https://www.i-secure.co.th/2026/09/%E0%B8%8A%E0%B9%88%E0%B8%AD%E0%B8%87%E0%B9%82%E0%B8%AB%E0%B8%A7%E0%B9%88%E0%B9%80%E0%B8%81%E0%B9%88%E0%B8%B2%E0%B8%81%E0%B8%A7%E0%B9%88%E0%B8%B2-12-%E0%B8%9B%E0%B8%B5%E0%B8%82%E0%B8%AD%E0%B8%87-postgr/ CVE-2026-6471 "PostGREShell"

وش رايكم بثغرة عمرها 12 سنة بـ PostgreSQL 😱 انكشفت ثغرة جديدة مسجلة بـ CVE-2026-6471 واسمها PostGREShell، تسمح لأي مهاجم عنده صلاحيات replication بسيطة ينفذ أوامر على سيرفرات قواعد البيانات. المشكلة هذي موجودة في خاصية logical decoding من حوالي 12 سنة، وتم إصلاحها الحين في الإصدارات المدعومة. PostgreSQL يستخدم بكثرة لتخزين بيانات الأعمال وسجلات التطبيقات ومعلومات العملاء والبيانات المالية وأحمال السحابة. الخطورة الأكبر إنها تمس نوع حسابات شائع استخدامه للنسخ الاحتياطي والتكرار واستعادة الكوارث وعمليات تتبع التغييرات.

12-year-old PostgreSQL flaw just turned “harmless” replication accounts into full server takeovers. PostGREShell (CVE-2026-6471). Low-priv backup account → code execution → superuser → persistent backdoor. This sat open since 2014. Patch now. https://www.securityweek.com/12-year-old-postgresql-vulnerability-enables-database-server-takeover/ #CyberSecurity #DatabaseSecurity #ThreatIntel

PostgreSQL “PostGREShell” (12 years old)CVE-2026-6471 (CVSS 7.2). In logical decoding since Postgres 9.4 / 2014. Cyera named it PostGREShell. Reporter: Vladimir Tokarev + Yu Kunpeng. Fix: 18.6 / 17.11 / 16.15 / 15.19 / 14.24.Need: account with REPLICATION + wal_level = logical. Plugin name in CREATE_REPLICATION_SLOT is handed to the library loader — path traversal / UNC / absolute path → code as the postgres OS user → superuser + persist (pg_hba.conf,shared_preload_libraries). VirusTotal hunt: 114 nasty Postgres plugins (miners, shells). The “backup user nobody audits” is the door. https://www.cyera.com/research/postgreshell-the-database-powering-much-of-the-internet-had-an-open-door-for-12-years https://thehackernews.com/2026/09/postgresql-fixes-12-year-old-logical.html https://www.securityweek.com/12-year-old-postgresql-vulnerability-enables-database-server-takeover/ #CVE20266471 #PostgreSQL #PostGREShell

turns out postgres treated the REPLICATION privilege (the thing every backup script casually has) as basically root for 12 years bro... load any library, run code as the postgres user, nobody caught it since 2014. they're calling it PostGREShell now, CVE-2026-6471

Warning: High severity vulnerability in PostgreSQL logical decoding. CVE-2026-6471 CVSS: 7.2. Accounts with REPLICATION privilege can execute arbitrary code, escalating to full superuser access. #RCE #Patch #Patch #Patch

【リンク集：週末のセキュリティ関連ニュース/記事】 ＜脆弱性＞ ・Google、Chromeのゼロデイ脆弱性を修正　今年に入って6件目（CVE-2026-85046） https://www.securityweek.com/google-patches-6th-chrome-zero-day-of-2026/ ・PostgreSQLにおける12年来の脆弱性でデータベースやサーバーの乗っ取りが可能に（CVE-2026-6471） https://www.securityweek.com/12-year-old-postgresql-vulnerability-enables-database-server-takeover/ ・Sangoma Switchvoxの脆弱性が攻撃で悪用される（CVE-2026-9586） https://www.securityweek.com/sangoma-switchvox-vulnerabilities-exploited-in-the-wild/ ・Citrix NetScalerの重大な認証バイパス脆弱性が攻撃で悪用される（CVE-2026-19490） https://www.bleepingcomputer.com/news/security/hackers-target-critical-citrix-netscaler-auth-bypass-in-attacks/ ・PaperCutの欠陥が悪用される　欧米の教育機関から認証情報を盗み出す目的（CVE-2026-81578、CVE-2026-82078） https://thehackernews.com/2026/09/attackers-exploit-papercut-flaws-to.html ・VMware Workstation／Fusionの重大な欠陥により、VM管理者がホスト上でコード実行可能に（CVE-2026-59346、CVE-2026-59347） https://thehackernews.com/2026/09/critical-vmware-workstation-and-fusion.html ・パッチ未適用のTeamCity経由でJetBrainsのCadenceが侵害被害に　AWSの認証情報が盗まれる（CVE-2026-63077） https://thehackernews.com/2026/09/attackers-breached-jetbrains-cadence.html ・パッチ未適用のMagentoとAdobe Commerceのゼロデイが悪用され、オンラインストアにバックドアを仕込まれる https://thehackernews.com/2026/09/unpatched-magento-and-adobe-commerce.html ＜マルウェア・その他脅威＞ ・月額料金不要のストリーミング端末SuperBox、家庭用ネットワーク通じて不正トラフィックを送信する恐れ https://www.malwarebytes.com/blog/news/2026/09/free-streaming-boxes-may-be-routing-criminal-traffic-through-your-home ・侵害されたサイト5,400件超がブロックチェーン上に保存されたClickFixペイロードを配信 https://www.bleepingcomputer.com/news/security/over-5-400-hacked-sites-serve-clickfix-payloads-stored-on-the-blockchain/ ・REVSTEALER関連モジュールが4件見つかる　WindowsアップデートやMicrosoft Defenderを無効化し、クリプトマイナーを実行 https://thehackernews.com/2026/09/four-revstealer-linked-modules-disable.html ・インターネットに公開されたSSH通じ、認証なしでMikroTikルーターが乗っ取られる https://thehackernews.com/2026/09/attackers-hijack-mikrotik-routers.html ・新種のバックドア「Ted」が標的のHAProxyビルド内に潜伏し、Webトラフィックを傍受 https://thehackernews.com/2026/09/new-ted-backdoor-hides-inside-victims.html ＜データ侵害/サイバー犯罪＞ ・ShipMonkの侵害で、削除されたはずの米国人顧客6万7,000人分のデータも流出　Trezorが発表 https://thehackernews.com/2026/09/trezor-says-shipmonk-breach-exposed.html ・ベルリン市保有の情報が大量にリークされる　最も機微性の高い文書5.26TBが流出―その全貌 https://medium.com/@jankammerath/the-berlin-mega-leak-inside-the-massive-5-26-tb-leak-of-the-citys-most-sensitive-documents-ab133444d1ba ＜AI関連＞ ・CrowdStrike、NVIDIAと共同開発したサイバーセキュリティ向け最先端AIモデル群「SafeMind」を発表 https://ir.crowdstrike.com/news-releases/news-release-details/crowdstrike-launches-frontier-models-cybersecurity-created ・OpenAIエージェント、5月にドイツの休眠サイトを不正使用　数か月後にはHugging Faceを侵害 https://www.theregister.com/ai-and-ml/2026/09/04/rogue-openai-agents-used-dead-german-web-site-to-communicate-in-may-months-before-hugging-face-incident/5294554 ＜サイバー戦/APT/国家型アクター/地政学関連＞ ・買い取った位置情報で米軍兵士の追跡が依然可能　議会は原因究明に努める https://www.theregister.com/public-sector/2026/09/06/us-troops-can-still-be-tracked-by-purchased-location-data-and-congress-wants-to-know-why/5294652 ＜逮捕/テイクダウン/制裁/違反/その他法執行関連＞ ・IDScan社、1億5,300万人分の運転免許証が流出したデータ侵害めぐり提訴される https://www.bleepingcomputer.com/news/security/idscan-sued-over-alleged-data-breach-affecting-153-million-drivers/ ・シアトル・タイムズとニューズデイ、OpenAIとマイクロソフトを提訴　他紙に続き https://techcrunch.com/2026/09/05/seattle-times-and-newsday-are-the-latest-publications-to-sue-openai-and-microsoft/ ＜リサーチ/攻撃手法/TTP＞ ・Tengu：Mirai型Linux／IoTボットネットの解析 https://app.reverser.space/p/duckie/tengu-reverse-engineering-a-mirai-style-linux-iot#0x1083d ・見えないUnicode文字使い、メールのフィルターを回避する大規模フィッシングキャンペーン https://cyberworldops.eu/en/million-dollar-phishing-campaign-uses-invisible-unicode-characters-to ＜その他＞ ・Exchange Onlineの障害でメールの送受信に遅れ　「Server busy」というエラー表示も https://www.bleepingcomputer.com/news/microsoft/exchange-online-outage-causes-email-delays-server-busy-errors/ ・G7、量子サイバー脅威への備えを急ぐよう組織に呼びかけ https://therecord.media/g7-urges-organizations-to-prepare-for-quantum-threats

PostgreSQLの脆弱性 CVE-2026-6471「PostGREShell」、REPLICATION権限から任意コード実行　12年前から存在した脆弱性を修正 https://rocket-boys.co.jp/security-measures-lab/postgresql-cve-2026-6471-postgreshell-fix/ #セキュリティ対策Lab #security #securitynews #セキュリティ #脆弱性

شناسایی آسیب پذیری با کد شناسایی CVE-2026-6471 در postgresql بعد از 12 سال . این آسیب پذیری امکان ارتقای سطح دسترسی به Superuser در دیتابیس آسیب پذیر و همچنین حفظ دسترسی و Persistence شدن هکر می دهد. این آسیب پذیری که از نوع RCE هم می باشد از نسخه 9.4 به بعد وجود دارد. https://t.co/O1FvYvGUp0

PostGREShell (CVE-2026-6471): a low-privilege PostgreSQL replication account — not superuser, not admin — can load arbitrary code into the database process and get RCE on Linux, macOS and Windows. Then escalate to full superuser, with persistence that survives cleanup.

今年に入って本当にクリティカルなやつが多い https://rocket-boys.co.jp/security-measures-lab/postgresql-cve-2026-6471-postgreshell-fix/

PostgreSQLの脆弱性 CVE-2026-6471「PostGREShell」、REPLICATION権限から任意コード実行　12年前から存在した脆弱性を修正 https://rocket-boys.co.jp/security-measures-lab/postgresql-cve-2026-6471-postgreshell-fix/