آسیب‌پذیری «PostGREShell» در PostgreSQL: نقص ۱۲ ساله در Replication که منجر به اجرای کد از راه دور می‌شود

پژوهشگران امنیتی استدلال می‌کنند که پروتکل replication یک دیتابیس ذاتاً باید به اکانت‌های بکاپی که از آن می‌خوانند اعتماد کند، در حالی که مدیران سازمان‌ها اصرار دارند هیچ اکانتی — به‌ویژه اکانتی که برای کپی‌برداری روتین داده‌ها استفاده می‌شود — نباید توانایی پنهان برای اجرای کدهای دلخواه را داشته باشد. این تنش معماری اکنون در مرکز آسیب‌پذیری بحرانی CVE-2026-6471 قرار دارد؛ نقصی که با نام پرطمطراق «PostGREShell» شناخته می‌شود و یک ایراد طراحی ۱۲ ساله در PostgreSQL را برملا می‌کند. در واقعیت، این آسیب‌پذیری به مهاجمی با دسترسی‌های استاندارد replication اجازه می‌دهد تا سطح دسترسی خود را بالا برده، افزونه‌های مخرب بارگذاری کند و یک بک‌دور دائمی با دسترسی superuser روی سرور میزبان ایجاد کند.[1][6]

برخلاف تصور، این نقص در یک ویژگی تازه‌معرفی‌شده قرار ندارد، بلکه در روش بنیادین PostgreSQL برای مدیریت پروتکل streaming replication نهفته است که از نسخه ۹.۰ به یک استاندارد تبدیل شده بود. طبق گزارش Hard2bit، این آسیب‌پذیری زمانی رخ می‌دهد که مهاجم از یک اکانت replication برای دستکاری پارامترهای پیکربندیِ حاکم بر بارگذاری پویای کتابخانه‌ها سوءاستفاده کند. تحلیل فنی SOCFortress به‌درستی اشاره می‌کند: «پروتکل replication برای در دسترس بودن داده‌ها طراحی شده بود، نه برای سندباکس کردنِ سخت‌گیرانه اجرای کد.» مهاجم با تزریق دستورات دستکاری‌شده از طریق جریان replication، می‌تواند موتور دیتابیس را مجبور به بارگذاری یک کتابخانه اشتراکی مخرب کند و عملاً یک نقش بکاپِ مبتنی بر خواندن را به اجرای کامل کد از راه دور تبدیل کند.[1][6]

در حالی که شرکت‌های امنیت سایبری با عجله تلاش کرده‌اند تا PostGREShell را به‌عنوان یک بحران فوری و ویرانگرِ اینترنت برندسازی کنند، مکانیسم واقعی این اکسپلویت نیازمند مجموعه‌ای از پیش‌شرط‌های خاص است. برخلاف هیاهوی تبلیغاتی، یک مهاجم نمی‌تواند صرفاً با ارسال یک پکت به پورت عمومی PostgreSQL، کنترل سرور را در دست بگیرد. آن‌ها ابتدا باید اطلاعات ورود معتبر برای اکانتی را به دست آورند که صراحتاً دسترسی REPLICATION به آن داده شده است، یا سیستمی را هک کنند که از قبل در فایل pg_hba.conf دیتابیس مجاز شناخته شده است. این آسیب‌پذیری احراز هویت را دور نمی‌زند؛ بلکه صرفاً مجوزهای یک نقش داخلیِ از پیش مورد اعتماد را به سلاح تبدیل می‌کند.[2][4]

با وجود این پیش‌شرط‌ها، شعاع تخریب همچنان قابل‌توجه است. رسانه CSO Online گزارش می‌دهد که این نقص، یک اکانت استاندارد بکاپ را به یک بک‌دور تبدیل می‌کند؛ مسئله‌ای مهم، چرا که محیط‌های سازمانی اغلب اطلاعات ورود replication را بین ده‌ها اسکریپت خودکار بکاپ و نودهای ثانویه به اشتراک می‌گذارند. Security Affairs تأکید می‌کند که این آسیب‌پذیری به مدت ۱۲ سال کشف‌نشده باقی مانده بود، به این معنی که در حال حاضر استقرارهای قدیمی و سرورهای داخلیِ پچ‌نشده بی‌شماری در حال اجرای نسخه‌های آسیب‌پذیر این موتور دیتابیس هستند.[2][3]

افشای این موضوع موجی از پچ‌های اضطراری را در میان ارائه‌دهندگان ابری و سرویس‌های مدیریت‌شده دیتابیس به راه انداخته است. با این حال، پچ کردن موتور اصلی تنها بردار حمله فوری را مسدود می‌کند. GBHackers به‌درستی اشاره می‌کند که سازمان‌ها باید اکانت‌های replication فعلی خود را نیز حسابرسی کنند، زیرا یک نقش بکاپ که قبلاً هک شده، ممکن است از قبل یک بک‌دور دائمی مستقر کرده باشد که حتی پس از یک آپدیت نرم‌افزاری استاندارد نیز زنده بماند. اکنون تمرکز از صرفاً اعمال پچ CVE-2026-6471، به شکار فعالانه بارگذاری‌های غیرعادی کتابخانه‌ها در لاگ‌های دیتابیس تغییر یافته است.[4][5]

بخش عمده‌ای از وحشت اولیه ناشی از برندسازی «PostGREShell» است که یک تهدید کرم‌گونه و بدون کلیک شبیه به Log4Shell را تداعی می‌کند. اما در واقعیت، مسیر اکسپلویت کاملاً قطعی است و ردپاهای جرم‌شناسی مشخصی را در کاتالوگ‌های سیستم PostgreSQL به جا می‌گذارد. Cyber Press تأکید می‌کند که اگرچه این نقص به اکانت‌های بکاپ اجازه می‌دهد کد اجرا کرده و دیتابیس‌ها را در دست بگیرند، اما شیوه‌های استاندارد دفاع در عمق — مانند بخش‌بندی شبکه برای ترافیک replication و تغییر دوره‌ای و سخت‌گیرانه رمزهای عبور — بردارهای حمله اولیه را خنثی می‌کنند.[1][5]

برای مدیران دیتابیس، راهکار فوری شامل آپدیت به جدیدترین نسخه‌های فرعی PostgreSQL است که توانایی نقش‌های replication برای تغییر پارامترهای حیاتی پیکربندی را محدود می‌کند. فراتر از این پچ، این آسیب‌پذیری سازمان‌ها را مجبور به یک بازبینی معماری گسترده‌تر در نحوه احراز هویت سیستم‌های بکاپ می‌کند. این فرض که یک اکانت replication ذاتاً امن است چون فقط داده‌ها را می‌خواند، اکنون به‌طور قطعی در هم شکسته است و نیازمند حرکت به سمت اصول «اعتماد صفر» حتی برای عملیات‌های داخلی و خودکار دیتابیس است.[2][6]

پیامد بلندمدت CVE-2026-6471 احتمالاً یک تغییر ساختاری در نحوه مدیریت دسترسی‌های مدیریتی توسط دیتابیس‌های رابطه‌ای خواهد بود. در حالی که سازمان‌ها در حال استقرار پچ‌های فعلی هستند، جامعه توسعه‌دهندگان PostgreSQL از همین حالا در حال بحث بر سر سندباکس کردن سخت‌گیرانه‌تر برای پروتکل‌های replication در نسخه‌های اصلی آینده است. نقطه عطف قابل‌تأیید بعدی، انتشار PostgreSQL ۱۸ خواهد بود؛ جایی که تغییرات پیشنهادی در سیستم کنترل دسترسی مبتنی بر نقش می‌تواند تکرار داده‌ها را برای همیشه از مدیریت پیکربندی جدا کند.[3][6]