Falha Crítica Expondo PostgreSQL por Mais de Uma Década

A descoberta da falha crítica CVE-2026-6471, batizada de PostGREShell, expôs uma vulnerabilidade que permaneceu inexplorada no PostgreSQL por impressionantes 12 anos. Esta brecha de segurança afetava todas as versões do banco de dados, da 9.4 à 18, permitindo que uma conta de replicação com privilégios baixos executasse código arbitrário. A exploração ocorria ao manipular o caminho de um 'output-plugin' não verificado, escalando privilégios para superusuário e estabelecendo persistência no sistema.

Em ambientes Windows, o risco era ainda maior. A falha abria uma via para carregar DLLs maliciosas diretamente via SMB, sem a necessidade de tocar no sistema de arquivos da vítima. A essência do problema reside na falha de validação de plugins, um vetor que, conforme o próprio artigo-fonte aponta, é recorrente em sistemas que carregam módulos externos. Tal como o CEVIU News noticiou em outras ocasiões sobre vulnerabilidades de longa data em componentes fundamentais, como as do kernel Linux e do KVM, esta falha no PostgreSQL reforça a necessidade de auditorias contínuas e aprimoramento das práticas de segurança.

Esta falha é crítica porque o PostgreSQL é a espinha dorsal de inúmeros serviços e plataformas globais, desde streamings até sistemas financeiros e de saúde. Uma conta de replicação, vista como de baixo risco, podia ser convertida em uma porta de acesso total ao banco de dados e ao servidor subjacente. Isso significava que dados sensíveis, segredos de aplicação e credenciais poderiam ser acessados, além da capacidade de executar comandos no sistema operacional.

A vulnerabilidade permitia que um atacante não só tomasse o controle do banco de dados, mas também estabelecesse múltiplos mecanismos de persistência que resistiam a reinicializações e até a tentativas de correção manual. A gravidade se compara a outros alertas recentes, como a "Falha Crítica de 18 Anos no Kernel Linux" (10 de agosto de 2026) e a "Falha Crítica de 16 Anos no KVM do Linux" (11 de julho de 2026), noticiados pelo CEVIU News. Todos esses casos sublinham que nem mesmo as tecnologias mais difundidas e aparentemente maduras estão imunes a brechas críticas que podem passar despercebidas por décadas, exigindo atenção urgente para atualizações e reforço das políticas de segurança.