【漏洞通告】MariaDB表名编码绕过漏洞（CVE-2026-92262)

启明星辰安全简讯

2026年10月19日 16:41
北京

去阅读

一、漏洞概述

MariaDB是一款开源关系型数据库管理系统，由MySQL原开发团队成员参与开发，兼容MySQL的多种协议和功能。MariaDB支持SQL查询、事务处理、数据索引、存储过程及多种存储引擎，可用于企业业务系统、Web应用、数据管理平台等场景，为应用程序提供结构化数据存储、查询和管理能力。

2026年10月19日，启明星辰安全应急响应中心（VSRC）监测到MariaDB表名编码绕过漏洞。漏洞源于数据库为兼容MySQL 5.0旧版表名而保留的mysql50前缀机制，该机制允许绕过表名在文件系统中的编码处理，并可能引发表缓存键冲突，导致不同表名错误地关联至同一表对象。具有数据库表创建及数据操作权限的低权限攻击者，可通过构造特定SQL语句触发漏洞，造成数据混淆、数据损坏或敏感信息泄露，严重情况下还可能导致数据库服务崩溃或远程代码执行。

二、影响范围

10.6.1 <= MariaDB <= 10.6.27

10.11.1 <= MariaDB <= 10.11.18

11.4.1 <= MariaDB <= 11.4.12

11.8.1 <= MariaDB <= 11.8.8

12.3.1 <= MariaDB <= 12.3.2

MariaDB = 13.0.1

三、安全措施

3.1 升级版本

官方已发布修复补丁，以修复该漏洞。

MariaDB 10.6.x >= 10.6.28

MariaDB 10.11.x >= 10.11.19

MariaDB 11.4.x >= 11.4.13

MariaDB 11.8.x >= 11.8.9

MariaDB 12.3.x >= 12.3.3

MariaDB 13.0.x >= 13.0.2

下载链接：

https://github.com/MariaDB/server/releases/

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://github.com/MariaDB/server/security/advisories/GHSA-65jj-h265-3m7h/

https://nvd.nist.gov/vuln/detail/cve-2026-92262

https://github.com/SeanDishman/mariadb-cve-2026-92262/tree/main/client