PostgreSQL fixes CVE-2026-6471 in logical decoding
Oleh Zai · Let's Make It Easy
Dipublikasikan 2026-09-05
CVE-2026-6471 PostgreSQL: dampak, versi terdampak, dan checklist role REPLICATION.
PostgreSQL merilis perbaikan untuk CVE-2026-6471, masalah authorization pada logical decoding. Kasus ini relevan untuk tim yang memakai logical replication karena akun non-superuser dengan privilege REPLICATION dapat memengaruhi plugin decoding yang dipakai server. File arbitrary yang terlihat oleh OS account PostgreSQL dapat di-load, lalu kode berjalan dengan hak akun tersebut.
1. Apa yang terjadi?
Menurut halaman keamanan resmi PostgreSQL, logical decoding tidak memeriksa otorisasi dengan cukup ketat ketika user memilih plugin. User yang memegang REPLICATION dapat membuat server melakukan dlopen terhadap file yang dapat dibaca oleh akun OS database. PostgreSQL menilai kondisi ini dapat berujung pada arbitrary code execution sebagai akun tersebut.
The Hacker News melaporkan flaw ini sudah ada sejak logical decoding diperkenalkan pada PostgreSQL 9.4 pada 2014. Itu membuat pemeriksaan versi penting, tetapi tidak berarti setiap instalasi lama otomatis dieksploitasi.
2. Versi terdampak dan perbaikannya
PostgreSQL mencantumkan versi sebelum 18.6, 17.11, 16.15, dan 15.19 sebagai affected. Rilis perbaikan dipublikasikan pada 13 Agustus 2026. Halaman yang sama mencantumkan CVSS 3.0 sebesar 7.2 dengan privilege tinggi pada vector penilaiannya.
Status patch perlu dibaca bersama konfigurasi. Prioritas biasanya ada pada instance yang memberi REPLICATION ke user non-superuser atau aplikasi pihak ketiga.
3. Checklist operator
Inventarisasi versi PostgreSQL dan cocokkan dengan versi fixed. Cari role yang memiliki REPLICATION dan pastikan grant tersebut memang dibutuhkan. Tinjau plugin logical decoding yang diizinkan serta lokasi file yang dapat dibaca oleh akun database.
Uji perubahan di staging, siapkan rollback, lalu jadwalkan minor-version update. Jika ada indikasi file asing atau perubahan plugin, simpan log dan lakukan investigasi terpisah.
Yang perlu diingat
Advisory PostgreSQL dan laporan The Hacker News menjadi dasar artikel ini. Tidak ada klaim bahwa deployment tertentu sudah dieksploitasi. Tingkat urgensi tetap harus ditentukan dari versi, role grant, dan konfigurasi lokal.
Dalam praktik, privilege REPLICATION sering muncul karena kebutuhan backup, CDC, atau integrasi analitik. Kebutuhan itu valid, tetapi grant yang terlalu luas bisa bertahan lebih lama daripada sistem yang memerlukannya. Audit tidak harus dimulai dengan mencabut semua akses. Mulai dari daftar role, pemiliknya, tujuan akses, dan tanggal review terakhir.
Untuk instance yang dikelola lewat image atau platform cloud, cek juga jadwal minor release dari provider. Label “managed” tidak selalu berarti patch langsung aktif pada semua cluster. Simpan bukti versi sebelum dan sesudah upgrade agar tim dapat membedakan status advisory, status patch, dan status validasi aplikasi.
Dokumentasikan hasil review sebagai bagian dari change record. Catatan singkat tentang versi, role, plugin, dan keputusan patch akan memudahkan audit berikutnya ketika cluster bertambah atau ownership berpindah.
Referensi: https://thehackernews.com/2026/09/postgresql-fixes-12-year-old-logical.html