CVE-2026-16239 PostgreSQL type confusion in cursor CLOSE + DECLARE executes arbitrary code

概要:
CVE-2026-16239は、PostgreSQLのコアサーバーに存在する脆弱性で、カーソルのCLOSEとDECLAREに関する型の取り違え(type confusion)により、任意のコードが実行されるものです。CVSSスコアは8.8で、ベクトルはAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hです。これは、ネットワーク経由で攻撃可能、攻撃の複雑さは低い、低い権限が必要、ユーザーの操作は不要、スコープは変更なし、機密性・完全性・可用性への影響はいずれも高いことを示します。

影響対象:
PostgreSQL 18、17、16、15、14。対象コンポーネントはコアサーバーです。なお、CLOSEとDECLAREをどのような手順や条件で組み合わせると影響が生じるかは、原文に記載がなく未確認です。

修正版:
18.6、17.11、16.15、15.19、14.24。

回避策:
原文に記載がなく未確認です。

不明点:
原文には「more details」とありますが、詳細本文は含まれていません。そのため、次の点は未確認です。
・具体的な発生条件や攻撃手順
・必要となる権限の具体的な内容
・任意のコードが実行される主体や範囲
・悪用の有無
・公開日
・13以前の版への影響
・回避策の有無