データベース
このタグの記事 3 件
CVE-2026-6460 — PostgreSQLの型混同による任意コード実行（CVSS 8.8、修正版18.7・17.12・16.16・15.20・14.25）の解説と対応策
PostgreSQLの型混同（CWE-843）。公式の説明では、オブジェクトを作成できるアカウントが、ALTER ... SET DATA TYPEなどを経て、データベースを動かすOSユーザーとして任意のコードを実行できる。CVSSは8.8（低権限の認証が必要）。影響は14〜18、修正は18.7・17.12・16.16・15.20・14.25（2026年11月12日）。同じ更新で計52件の脆弱性が直る。悪用の記載はなく、回避策もない。PostgreSQL 14はこの更新が最後で、サポートが終わる。当サイトの結論：マイナーバージョンを更新し、14の利用者は移行を計画する。
PingCAP（TiDB Cloud）への不正アクセスと情報漏洩（日本国内で最大約5万件）：アカウント情報・SQLエディタ履歴・サポートチケットなどが対象の組織管理者がやること
PingCAP株式会社は、2026年9月9日〜10月7日（米国時間）に、盗まれた認証情報を使った第三者が社内システムに入り、データを複製したと公表した。日本国内で最大約5万件の個人情報が漏洩したことが判明したという。同社が影響を確認した情報の種類（顧客により異なる）は、TiDB Cloudのアカウント情報（ユーザー名、メールアドレス、組織・プロジェクトとの関連付け、SQLエディタの実行履歴とエラー情報、問い合わせ情報＝サポートチケット）、取引関連情報（氏名・メール・企業名・電話、注文内容・支払条件・請求設定）、暗号化されたAPIキーのPublic Key部分。同社はクレジットカード情報の漏洩とTiDB Cloudへの不正アクセスは確認されておらず、Private Keyは流出していないとしている。件数が数える単位（人数かレコード数か）は書かれていない。同社の英語の発表（本社）は、ソースコードも取得されたと書いている。当サイトの結論：TiDB Cloudの組織管理者は、APIキーを再発行し、アクセスログとメンバー・権限を見直し、SQLエディタやサポートチケットに貼った認証情報があれば変更する。
SQLインジェクション（SQLi）とは：入力でデータベースへの命令を書き換えられる脆弱性
SQLiは、入力が“データ”でなく“命令の一部”として解釈され、DBへの問い合わせの意味が変わる脆弱性。読み出し・改ざん・全削除に直結。基本の防御は『文字列連結をやめ、プレースホルダ（プリペアドステートメント）で値を渡す』こと。