文章总结： 奇安信CERT发布高危漏洞通告，PostgreSQL的datetimetochar_body()函数存在堆缓冲区溢出，可导致远程代码执行(CVE-2026-14669)。攻击者需获取数据库认证权限，PoC已公开。影响版本包括14.x至18.x系列。建议立即更新至修复版本或采取临时缓解措施。 综合评分： 85 文章分类： 漏洞分析,应急响应,解决方案
【已复现】PostgreSQL 远程代码执行漏洞(CVE-2026-14669)安全风险通告
奇安信 CERT
2026年8月18日 14:36 北京
在小说阅读器读本章
去阅读
● 点击↑蓝字关注我们，获取更多安全风险通告
| | | | | | — | — | — | — | | 漏洞概述 | | | | | 漏洞名称 | PostgreSQL 远程代码执行漏洞 | | | | 漏洞编号 | QVD-2026-52338，CVE-2026-14669 | | | | 公开时间 | 2026-08-13 | 影响量级 | 百万级 | | 奇安信评级 | 高危 | CVSS 3.1分数 | 8.8 | | 威胁类型 | 代码执行 | 利用可能性 | 高 | | POC状态 | 已公开 | 在野利用状态 | 未发现 | | EXP状态 | 已公开 | 技术细节状态 | 已公开 | | 危害描述：攻击者可利用该漏洞以 postgres 用户权限在数据库服务器上执行任意系统命令，完全控制数据库服务器，窃取所有敏感数据，并可能横向渗透内网、安装后门、破坏服务。 | | | |
01
漏洞详情
>>>>
影响组件
PostgreSQL 是全球使用最广泛的开源对象关系型数据库管理系统之一，由 PostgreSQL Global Development Group 维护。该数据库系统以其高度的可扩展性、标准 SQL 兼容性和企业级特性，被广泛应用于金融、电信、政府、互联网等各行业的关键业务系统。
>>>>
漏洞描述
近日，奇安信CERT监测到官方修复PostgreSQL 远程代码执行漏洞(CVE-2026-14669)，该漏洞源于 PostgreSQL 的 datetime\_to\_char\_body() 函数在处理 TZ/TZtz 时间格式时，未对用户可控的 POSIX 时区缩写长度进行充分校验，导致堆缓冲区溢出。攻击者在获取数据库认证权限后，可通过精心构造的时区设置和 SQL 查询，实现堆内存布局操纵、PIE/ASLR 绕过，最终劫持程序控制流，以 PostgreSQL 服务器进程权限执行任意代码。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
>>>>
利用条件
-
攻击者需要获取 PostgreSQL 数据库的有效认证凭据（普通用户权限即可）；
-
目标 PostgreSQL 服务需开放网络访问。
02
影响范围
>>>>
影响版本
PostgreSQL 18.x < 18.5
PostgreSQL 17.x < 17.11
PostgreSQL 16.x < 16.15
PostgreSQL 15.x < 15.19
PostgreSQL 14.x < 14.24
>>>>
其他受影响组件
无
03
复现情况
目前，奇安信CERT已成功复现PostgreSQL 远程代码执行漏洞(CVE-2026-14669)，截图如下：
04
受影响资产情况
奇安信鹰图资产测绘平台数据显示，PostgreSQL 远程代码执行漏洞(CVE-2026-14669)关联的国内风险资产总数为56023个，关联IP总数为56819个。国内风险资产分布情况如下：
PostgreSQL 远程代码执行漏洞(CVE-2026-14669)关联的全球风险资产总数为1155962个，关联IP总数为1096408个。全球风险资产分布情况如下：
05
处置建议
>>>>
安全更新
官方已发布安全补丁，请及时更新至最新版本：
PostgreSQL >= 18.5
PostgreSQL >= 17.11
PostgreSQL >= 16.15
PostgreSQL >= 15.19
PostgreSQL >= 14.24
下载地址：
https://www.postgresql.org/download/
临时缓解措施：
1.启用 PostgreSQL 日志记录，监控可疑的 to\_char() 和 SET timezone 调用；
2.限制数据库访问，仅允许可信 IP 地址访问。
>>>>
产品解决方案
奇安信开源卫士已支持
奇安信开源卫士20260818.1455版本已支持对 PostgreSQL 远程代码执行漏洞(CVE-2026-14669)的检测。
06
参考资料
[1]https://www.postgresql.org/support/security/CVE-2026-14669/
07
时间线
2026年08月18日，奇安信 CERT发布安全风险通告。
08
漏洞情报服务
「奇安信漏洞情报平台」重磅上线，诚邀您来体验：
奇安信 CERT
致力于第一时间为企业级用户提供权威漏洞情报和有效解决方案。
点击↓阅读原文，到ALPHA威胁分析平台订阅更多漏洞信息。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：奇安信 CERT 《【已复现】PostgreSQL 远程代码执行漏洞(CVE-2026-14669)安全风险通告》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论