BDU:2026-11975

средний уровень опасности CVSS 3.8 · AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:L

Уязвимость команды ALTER TABLE ALTER TYPE системы управления базами данных PostgreSQL, позволяющая нарушителю получить несанкционированный доступ на удаление или изменение данных

Соответствие зарубежным идентификаторам

CVE-2026-6469

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Как эксплуатируется

Эксплуатируется по сети, но требуется учётная запись. Снаружи достижима — приоритет высокий.

Способ доступа: по сети
Сложность эксплуатации: низкая
Нужны права: права администратора
Участие человека: не требуется
Область воздействия: в пределах уязвимого компонента
Конфиденциальность: нет
Целостность: низкое
Доступность: низкое

Расшифровка вектора CVSS 3.x из записи банка данных.

Описание

Уязвимость команды ALTER TABLE ALTER TYPE системы управления базами данных PostgreSQL связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ на удаление или изменение данных

Способ устранения

Использование рекомендаций производителя: https://www.postgresql.org/support/security/CVE-2026-6469/ Компенсирующие меры: - ручная проверка владельца объектов статистики после выполнения команды ALTER TABLE ALTER TYPE и, при необходимости, явное изменение владельца с помощью ALTER STATISTICS ... OWNER TO ...; - ограничение прав на выполнение команды ALTER TABLE ALTER TYPE только для доверенных администраторов, чтобы снизить риск случайного или злонамеренного использования. Обновление Platform V Pangolin DB до версии 6.4.5 / 7.2.1 Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Сведения записи

Дата публикации: 20.08.2026

Класс уязвимости: Уязвимость архитектуры

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Данные уточняются

Уровень опасности по записи: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,5) Низкий уровень опасности (базовая оценка CVSS 3.1 составляет 3,8)

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
PostgreSQL Global Development Group	PostgreSQL	до 14.24	Не указана
PostgreSQL Global Development Group	PostgreSQL	до 15.19	Не указана
PostgreSQL Global Development Group	PostgreSQL	до 16.15	Не указана
PostgreSQL Global Development Group	PostgreSQL	до 17.11	Не указана
PostgreSQL Global Development Group	PostgreSQL	до 18.5	Не указана
АО «ИВК»	АЛЬТ СП 10	-	Не указана
АО «СберТех»	Platform V Pangolin DB	6.4.4	Не указана
АО «СберТех»	Platform V Pangolin DB	7.2.0	Не указана

Что требуют по этой уязвимости

Уязвимости закрываются мерами анализа защищённости и управления уязвимостями. Название и код у каждого акта свои:

АНЗ.1 — Выявление, анализ уязвимостей информационной системы и оперативное устранение вновь выявленных уязвимостей (приказ ФСТЭК России от 18.02.2013 № 21).
АНЗ.2 — Контроль установки обновлений программного обеспечения, включая обновление программного обеспечения средств защиты информации (приказ ФСТЭК России от 18.02.2013 № 21).
АУД.2 — Анализ уязвимостей и их устранение (приказ ФСТЭК России от 25.12.2017 № 239).
КУ — управление уязвимостями: мониторинг уязвимостей и оценка их применимости, оценка уязвимостей, определение методов и приоритетов устранения, устранение и контроль устранения (методический документ ФСТЭК России от 12.04.2026, раздел 3.3 — к приказу от 11.04.2025 № 117).
КО — управление обновлениями: контроль актуальности версий, получение обновлений из источников с проверкой подлинности и целостности, проверка и установка обновлений (методический документ ФСТЭК России от 12.04.2026, раздел 3.4 — к приказу от 11.04.2025 № 117).

Для государственных систем методический документ требует внутренний регламент по управлению уязвимостями. В нём должны быть:

ответственные за организацию и контроль управления уязвимостями и участники процессов — с обязанностями и правами
операции мониторинга уязвимостей и оценки их применимости: исполнители, продолжительность, входные и выходные данные
операции оценки уязвимостей — так же по исполнителям, срокам и данным
операции определения методов и приоритетов устранения
операции устранения уязвимостей и контроля устранения
схемы взаимодействия подразделений при выполнении этих операций

Чем это оформляется:

Образец инструкции по контролю (анализу) защищённости ИСПДн (АНЗ) — порядок: кто, чем и как часто проверяет
Образец акта контроля (анализа) защищённости ИСПДн — запись о проверке и найденных уязвимостях
Образец регламента защиты информации (внутренние стандарты) государственной системы — для государственных систем: разделы «Управление уязвимостями» и «Управление обновлениями» и есть тот внутренний регламент, которого требует методический документ

В модели угроз уязвимость учитывается не сама по себе, а как способ реализации угрозы (методика оценки угроз безопасности информации ФСТЭК России от 05.02.2021). Угрозы по объекту воздействия:

Системное ПО и ОС (реестр, файловая система)Прикладное ПО Сетевое ПО, узлы и трафик

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.09.2026, записей в справочнике — 95745. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.