【漏洞预警】PostgreSQL to_char 堆缓冲区溢出漏洞可导致远程代码执行 (CVE-2026-14669)

▌漏洞描述

      PostgreSQL 是广泛用于业务系统、数据分析和关键应用的数据管理平台，通常承载业务数据、账户信息及应用服务连接。

      PostgreSQL 官方披露核心服务器存在堆缓冲区溢出漏洞（CVE-2026-14669，高危，CVSS 8.8）。当攻击者可控制会话时区时，to_char(timestamptz) 对过长 POSIX 时区缩写的处理可能触发堆缓冲区溢出，使攻击者以运行数据库的操作系统用户身份执行任意代码。公开渠道已公开技术分析细节，建议优先处置。

▌利用条件

      利用条件：攻击者需能够访问目标 PostgreSQL 服务，并取得可登录数据库的有效凭据；根据官方 CVSS 评估，低权限认证用户即可满足权限要求。攻击过程还需能够影响会话时区设置。

      大致利用链路：攻击者访问暴露的 PostgreSQL 服务并使用有效低权限账户建立会话 -> 进入日期时间格式化处理流程 -> 在受控时区条件下触发 to_char(timestamptz) 对过长 POSIX 时区缩写的边界处理错误 -> 造成堆缓冲区溢出 -> 劫持服务器进程执行流，以 PostgreSQL 服务进程对应的操作系统用户权限执行代码。

▌威胁状态分析

      PostgreSQL 常部署于业务应用、数据平台和运维管理网络中，通常承载业务数据、账户信息及应用服务连接。数据库服务一旦对应用网段、办公网或公网开放，且存在低权限账号泄露、弱口令或权限管理不严等问题，将增加漏洞利用风险。

      通过 FOFA 测绘可以看到，全球暴露在公网的 PostgreSQL 相关资产约为 2,774,743 条，其中美国的资产占比较高。

重点关注环境下是否存在高危场景：

• PostgreSQL 服务对公网、办公网或非可信应用网段开放。

• 数据库实例运行受影响版本，且未完成对应修复版本升级。

• 实例存在可远程登录的低权限账号、共享账号或长期未轮换的业务凭据。

• 数据库承载核心业务数据、账户信息或可访问高价值业务系统。

• 测试环境、历史实例或第三方维护的数据库未纳入统一版本管理。

▌排查和修复建议

• 优先处理公网暴露、应用网段开放及第三方维护的数据库实例。

• 按官方建议升级至 18.5、17.11、16.15、15.19、14.24 或更高版本。

•  暂无法升级时，限制数据库服务仅向可信业务主机开放，并加强访问日志审计。

• 排查低权限数据库账号、长期未使用账号和异常访问来源，及时轮换高价值实例的数据库凭据。

• 审计异常会话时区设置、日期时间格式化调用、数据库服务异常退出及操作系统层面的可疑进程行为。

• 修复后复核集群节点、只读副本、测试环境和遗留实例，确认均已完成版本升级。

▌产品支持情况

      华顺信安安全研究团队已成功复现该漏洞。

      华顺信安安全产线产品已支持 PostgreSQL 相关产品组件暴露面风险资产规则识别。

▌参考

• https://www.postgresql.org/support/security/CVE-2026-14669/