CVE-2026-16238 PostgreSQL type confusion in pg_restore_attribute_stats() executes arbitrary code

概要
CVE-2026-16238は、PostgreSQLの関数pg_restore_attribute_stats()における型の取り違え（type confusion）の脆弱性です。原文によると、任意のコードが実行される可能性があります。対象コンポーネントはcore server（コアサーバー）です。CVSSスコアは8.8、ベクトルはAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hと記載されています。このベクトルは、ネットワーク経由で攻撃可能、攻撃条件の複雑さは低、必要な権限は低、ユーザー操作は不要、スコープは変更なし、機密性・完全性・可用性への影響はいずれも高、という評価を示します。

影響対象
PostgreSQLの「18」が影響を受けると記載されています。18系のうち具体的にどのマイナーバージョンが該当するかは、原文に明記されていません。

修正版
PostgreSQL 18.6で修正されたと記載されています。

回避策
原文に記載がないため未確認です。

不明点
脆弱性を悪用するための具体的な条件、攻撃に必要な権限の詳細、18以外のバージョンが影響を受けるかどうか、悪用事例の有無、公開日、および回避策は、いずれも原文に記載がなく未確認です。原文の説明文の末尾に「more details」とありますが、その詳細な内容は提示されていません。