PostgreSQL远程代码执行漏洞(CVE-2026-14669)安全风险通告

01

漏洞详情

>>>>

影响组件

PostgreSQL 是全球使用最广泛的开源对象关系型数据库管理系统之一，由 PostgreSQL Global Development Group 维护。该数据库系统以其高度的可扩展性、标准 SQL 兼容性和企业级特性，被广泛应用于金融、电信、政府、互联网等各行业的关键业务系统。

>>>>

漏洞描述

近日，奇安信CERT监测到官方修复PostgreSQL 远程代码执行漏洞(CVE-2026-14669)，该漏洞源于 PostgreSQL 的 `datetime_to_char_body()` 函数在处理 TZ/TZtz 时间格式时，未对用户可控的 POSIX 时区缩写长度进行充分校验，导致堆缓冲区溢出。攻击者在获取数据库认证权限后，可通过精心构造的时区设置和 SQL 查询，实现堆内存布局操纵、PIE/ASLR 绕过，最终劫持程序控制流，以 PostgreSQL 服务器进程权限执行任意代码。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

>>>>

利用条件

1. 攻击者需要获取 PostgreSQL 数据库的有效认证凭据（普通用户权限即可）；

2. 目标 PostgreSQL 服务需开放网络访问。

02

影响范围

>>>>

影响版本

PostgreSQL 18.x < 18.5

PostgreSQL 17.x < 17.11

PostgreSQL 16.x < 16.15

PostgreSQL 15.x < 15.19

PostgreSQL 14.x < 14.24

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信CERT已成功复现PostgreSQL 远程代码执行漏洞(CVE-2026-14669)，截图如下：

04

受影响资产情况

奇安信鹰图资产测绘平台数据显示，PostgreSQL 远程代码执行漏洞(CVE-2026-14669)关联的国内风险资产总数为56023个，关联IP总数为56819个。国内风险资产分布情况如下：

PostgreSQL 远程代码执行漏洞(CVE-2026-14669)关联的全球风险资产总数为1155962个，关联IP总数为1096408个。全球风险资产分布情况如下：

05

处置建议

>>>>

安全更新

官方已发布安全补丁，请及时更新至最新版本：

PostgreSQL >= 18.5

PostgreSQL >= 17.11

PostgreSQL >= 16.15

PostgreSQL >= 15.19

PostgreSQL >= 14.24

下载地址：

https://www.postgresql.org/download/

临时缓解措施：

1.启用 PostgreSQL 日志记录，监控可疑的 `to_char()` 和 `SET timezone` 调用；

2.限制数据库访问，仅允许可信 IP 地址访问。

>>>>

产品解决方案

奇安信开源卫士已支持

奇安信开源卫士20260818.1455版本已支持对 PostgreSQL 远程代码执行漏洞(CVE-2026-14669)的检测。

06

参考资料

[1]https://www.postgresql.org/support/security/CVE-2026-14669/

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。