研究者披露 PostgreSQL 22 年类型混淆漏洞可致 RCE

安全研究者 Mehmet Ince 披露，他利用 PostgreSQL 复合类型在 PREPARE 后经 ALTER TYPE 修改字段类型、旧值不被重写这一特性，构造类型混淆并最终实现远程代码执行，漏洞编号 CVE-2026-6460。 Ince 称，该漏洞是 PostgreSQL 核心中已存在 22 年的零日漏洞，他以最低权限登录角色即可在任意 PostgreSQL 实例上触发崩溃，共报告 21 个案例。相关安全修复随一次包含 52 个新 CVE 的大版本发布一并合入。 上述远程代码执行效果目前来自 Ince 本人的披露，报道未给出独立验证。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。