วงการไซเบอร์ซีเคียวริตีเปิดเผยการค้นพบช่องโหว่ความปลอดภัยระดับรุนแรงบนระบบจัดการฐานข้อมูล PostgreSQL ในชื่อ PostGREShell (รหัสติดตาม CVE-2026-6471) ซึ่งแฝงตัวอยู่อย่างยาวนานกว่า 12 ปี นับตั้งแต่ PostgreSQL เวอร์ชัน 9.4 เป็นต้นมา
ช่องโหว่นี้ได้รับการเปิดเผยโดยทีมวิจัย Cyera Research เมื่อวันที่ 1 กันยายน โดยระบุว่าเป็นภัยคุกคามที่ส่งผลกระทบต่อองค์ประกอบหลักของระบบ ไม่ว่าจะเป็นการทำสำรองข้อมูล, การส่งข้อมูลสตรีมมิง, การจับความเปลี่ยนแปลงข้อมูล ไปจนถึงระบบ Failover ซึ่งถูกใช้งานอย่างแพร่หลายในโครงสร้างพื้นฐานระดับองค์กรและบริการคลาวด์ทั่วโลก
ต้นเหตุของช่องโหว่ PostGREShell เกิดขึ้นในกลไก Logical Replication ที่ทำหน้าที่ส่งไฟล์ Write-Ahead Log ไปยังเครื่องปลายทาง โดยปกติแล้วในการดึงข้อมูลประเภทนี้ ผู้ใช้จะต้องสร้าง Replication Slot และระบุชื่อ “Output Plugin” ซึ่งเป็นไลบรารีโค้ดแบบ Native (เช่น ไฟล์ .so, .dll หรือ .dylib) เพื่อให้ PostgreSQL โหลดเข้าสู่ Server Process
แม้ว่าตามปกติแล้ว PostgreSQL จะมีฟังก์ชัน check_restricted_library_name() คอยบล็อกผู้ใช้ทั่วไปไม่ให้สั่งโหลดไฟล์ไลบรารีภายนอกผ่าน SQL แต่ในช่องทาง Logical Replication กลับไม่มีการนำระบบตรวจสิทธิ์ดังกล่าวมาบังคับใช้ ทำให้ผู้ใช้ที่มีสิทธิ์เพียงแค่ REPLICATION สามารถส่งชื่อ Plugin ที่ระบุเส้นทางไฟล์อันตรายอย่าง Absolute Path, Path Traversal (../) หรือ Windows UNC Path เข้ามาได้
เมื่อระบบรับคำสั่งดังกล่าวไป PostgreSQL จะส่งค่าไปยังฟังก์ชันโหลดไลบรารีของระบบปฏิบัติการ เช่น dlopen() ใน Linux/macOS หรือ LoadLibrary() ใน Windows โดยตรง ส่งผลให้โค้ดแปลกปลอมถูกรันภายใต้สิทธิ์ของ PostgreSQL Service Account ทันที
ซึ่งรูปแบบการโจมตีจะแตกต่างกันตามระบบปฏิบัติการ โดยในฝั่ง Windows แฮกเกอร์สามารถโฮสต์ไฟล์ DLL อันตรายไว้บน SMB Share แล้วสั่งให้เซิร์ฟเวอร์ดึงไปรันข้ามเครือข่ายได้โดยไม่ต้องแอบเขียนไฟล์ลงเครื่องเหยื่อ ส่วนบน Linux หรือ macOS การโจมตีอาจอาศัยการวางไฟล์ไว้ในเครื่องล่วงหน้า หรือใช้ประโยชน์จากระบบ NFS Automount ในการโหลดไลบรารีอันตรายเข้ามาทำงาน
ความเสียหายจากการโจมตีสำเร็จอยู่ในระดับร้ายแรง เนื่องจากผู้บุกรุกสามารถแทรกแซงหน่วยความจำและโครงสร้าง Catalog ภายในของ PostgreSQL เพื่อข้ามการตรวจสอบสิทธิ์ SQL ปกติ แล้วยกระดับตนเองขึ้นเป็น Superuser ได้ทันที
การได้สิทธิ์สูงสุดนี้ช่วยให้ผู้ก่อการร้ายสามารถอ่านหรือแก้ไขข้อมูลสำคัญของแอปพลิเคชัน รวบรวมรหัสผ่านที่จัดเก็บไว้ รันคำสั่งระดับระบบปฏิบัติการ รวมถึงแก้ไขไฟล์ตั้งค่าอย่าง pg_hba.conf หรือเพิ่มตนเองลงใน shared_preload_libraries เพื่อฝังแบ็กดอร์ถาวรไว้ในระบบ แม้ว่าผู้ดูแลระบบจะพยายามลบร่องรอยในภายหลังก็ตาม นอกจากนี้ยังมีการตรวจพบ Plugin ต้องสงสัยบน VirusTotal กว่า 114 รายการ เช่น โปรแกรมขุดมัลแวร์คริปโทและ Reverse Shell ซึ่งสะท้อนให้เห็นถึงความเสี่ยงของการนำโค้ดที่ไม่ได้รับอนุญาตมารันในฐานข้อมูล
เพื่อรับมือกับภัยคุกคามนี้ ผู้ดูแลระบบควรรีบดำเนินการอัปเดตแพตช์ความปลอดภัยที่แก้ไข CVE-2026-6471 จากทาง PostgreSQL โดยทันที พร้อมทั้งตรวจสอบบัญชีผู้ใช้ทั้งหมดที่ได้รับสิทธิ์ REPLICATION และจำกัดการเข้าถึงให้เหลือเฉพาะโฮสต์ที่วางใจได้ผ่านการตั้งค่า pg_hba.conf อย่างเข้มงวด
นอกจากนี้ ควรบล็อกการเชื่อมต่อ Outbound Traffic ที่ไม่จำเป็นไปยังพอร์ต SMB (Port 445) และ NFS (Port 2049) ปิดบริการ Automount ที่ไม่ได้ใช้งาน รวมถึงหมั่นเฝ้าระวังคำสั่ง CREATE_REPLICATION_SLOT หากพบชื่อ Plugin ที่มีสัญลักษณ์ /, \ หรือ ../ ให้ถือเป็นสัญญาณเตือนภัยระดับสูงสุดว่าระบบกำลังถูกพยายามเจาะช่องโหว่
ที่มา : GBH
