这是一篇关于 PostgreSQL 在 2026 年 11 月定期更新中修复的、可导致任意代码执行的类型混淆缺陷的解析。本文从防御方的角度说明发生了什么、谁受影响以及如何应对，不涉及攻击步骤。
- CVE
- CVE-2026-6460（PostgreSQL 在 ALTER ... SET DATA TYPE 之后发生类型混淆，可执行任意代码）
- 严重度
- CVSS v3.1 8.8（High；向量 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H；由 PostgreSQL 分配）
- 类型
- 类型混淆（CWE-843）。以运行数据库的操作系统用户身份执行任意代码
- 条件
- 需要认证。对象创建者（低权限账户）
- 受影响
- PostgreSQL 14 至 18（低于下列修复版本）
- 修复
- 18.7 / 17.12 / 16.16 / 15.20 / 14.25（2026年11月12日发布）
- 同一次更新
- 共修复 52 个漏洞。14.25 是 PostgreSQL 14 的最后一次更新
- 利用情况
- 未见报告。未列入 CISA KEV 的 11 月 10 日版本
- 临时解决办法
- 未列出
PostgreSQL 14 不再有后续修复
PostgreSQL 的公告称，14.25 是 PostgreSQL 14 的最终版本，之后将不再提供安全或缺陷修复。如果您运行的是 14，请应用本次更新，并规划迁移到受支持的版本。
这是什么样的漏洞
项目方描述了一个类型混淆（CWE-843），使对象创建者能够主要通过 ALTER ... SET DATA TYPE，以运行数据库的操作系统用户身份执行任意代码。项目方还称，通过数据定义命令还存在其他路径。原因是对带类型的值跟踪不足：值不能标识自己的类型，因此过时的值可能出现在数据字典条目、PL/pgSQL 变量等位置。
- 条件是账户能够登录数据库并创建对象。按 CVSS 的说法，就是低权限（PR:L），无需用户交互（UI:N）。
- 本站不描述利用步骤，也不说明哪些操作是危险的。
- 修复位于 PostgreSQL 核心。官方页面没有说明是否需要扩展或非默认设置。
- CVE.org 记录中 CISA 的评估（SSVC）为：利用 none，可自动化 no，技术影响 total。
受影响范围
| 项目 | 详情 |
|---|---|
| 产品 | PostgreSQL（核心） |
| 受影响版本 | 低于 18.7、17.12、16.16、15.20 和 14.25 的版本 |
| 修复（18） | 18.7 |
| 修复（17） | 17.12 |
| 修复（16） | 16.16 |
| 修复（15） | 15.20 |
| 修复（14） | 14.25（14 的最后一次更新） |
| 临时解决办法 / 缓解措施 | 未列出 |
- 不需要转储并重新加载，也不需要 pg_upgrade。PostgreSQL 的公告称，您只需停止服务器并更新二进制文件。
- 13 及更早版本已经不再受支持。官方页面针对该 CVE 列出的是 14 至 18。
同一次更新中的其他漏洞
2026年11月12日的版本（18.7、17.12、16.16、15.20、14.25）修复了 52 个安全漏洞和 140 多个缺陷。本文聚焦于 CVE-2026-6460。
- 关于这 52 个漏洞的列表，以及每个 CVE 的严重度和受影响版本，见 PostgreSQL 安全信息页面。
- 该列表包含不同类型的问题：任意代码执行、服务器内存泄露、SQL 注入和权限检查绕过。其中也包括客户端工具（pg_dump、pg_restore、reindexdb 等）的修复。
- 部分修复在更新后需要额外步骤（怀疑发生损坏时重建 GIN 索引以及 pg_trgm 索引；如果使用增量备份，则重新做一次完整备份；检查分区表上的约束）。请遵循发布公告中的“Updating”一节。
如何确认自己是否受影响
检查 PostgreSQL 版本
运行 SELECT version(); 查看服务器版本。低于 18.7 的 18、低于 17.12 的 17、低于 16.16 的 16、低于 15.20 的 15，或低于 14.25 的 14 均受影响。
找出所有运行它的地方
列出您运营的服务器、容器、应用内置的 PostgreSQL，以及开发和测试环境。关于如何维护清单，见资产清单检查表。
检查哪些账户能够创建对象
找出能够登录数据库并创建或修改表等对象的角色。检查应用所用的账户权限是否超出了必要范围。
对于托管服务，请阅读服务商的公告
如果您使用 RDS、Cloud SQL 或类似服务，请在服务商的公告中查看您实例的版本以及服务商的处理状态。
今天该做什么
把小版本更新到修复版本（优先）
升级到所属系列的修复版本（18.7、17.12、16.16、15.20 或 14.25）或更高版本。更新之前，确认备份存在且可以恢复（备份要点）。如果有副本，请先确定步骤和顺序。
检查更新后的步骤
在发布公告的“Updating”一节中，检查哪些适用于您：怀疑发生损坏时重建 GIN 索引、重建 pg_trgm GiST 索引，以及如果使用增量备份则做一次新的完整备份。
更新之前缩小权限
PostgreSQL 的页面没有列出临时解决办法。作为本站自己的补充，在更新之前，请把能够创建对象的账户限制在最低限度，并且不要给应用所用的账户授予它们不需要的创建权限。这不是公告中提到的措施，也不能代替更新。
确认托管服务的更新
请查看服务商的公告，了解支持的版本和更新计划。还要检查是否开启了自动小版本更新，以及维护窗口是什么时候。
如果您运行 PostgreSQL 14，请规划迁移
更新到 14.25 之后，请规划迁移到受支持的版本。确定截止日期和负责人。
利用情况
- PostgreSQL 的页面没有提到利用。
- CVE.org 记录中 CISA 的评估（SSVC）为：利用 none，可自动化 no，技术影响 total（日期为2026年11月12日）。
- 它未列入 CISA KEV 目录的 11 月 10 日版本。
- 无法确认关于任何攻击的规模、手法或行为者的公开信息。
- 多名研究人员和机构报告了该问题，官方页面列有致谢。
信息来源
- PostgreSQL — CVE-2026-6460（说明、受影响版本和修复版本、CVSS 8.8，2026年11月12日）
- PostgreSQL — PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25, and 19 RC 2 Released!（52 项修复、PostgreSQL 14 生命周期终止、更新后的步骤）
- PostgreSQL — Security Information（52 个漏洞的列表）
- CVE.org — CVE-2026-6460（2026年11月12日发布；CWE-843，CISA SSVC 评估）
- CISA KEV — Known Exploited Vulnerabilities Catalog（未列入该目录的 11 月 10 日版本）
限制对象创建权限是本站在此列出的一般性防御措施，并非 PostgreSQL 说明的临时解决办法。最后确认：2026年11月13日。
延伸阅读
- 实务：漏洞响应实务手册 / 资产清单检查表
- 准备：备份要点
- 判断：用 CVSS、EPSS、KEV 确定优先级
- 术语：什么是 SQL 注入 / 什么是 CVSS？