Pgpool-II, yedi CVE'lik güvenlik sürümünde sertifika doğrulama atlatma açığı CVE-2026-92868'u yamaladı

Pgpool Global Development Group, 29 Eylül 2026'da yamalı Pgpool-II sürümlerini yayımladı ve JVN#22475874 numaralı koordineli bültende toplanan yedi açığı kapattı. En fazla dikkat çeken kalem CVE-2026-92868; bültende bu açık, istemci sertifikası kimlik doğrulamasını atlatmayla ilişkilendirilen hatalı bir sertifika doğrulama kusuru olarak tanımlanıyor. Sürüme ilişkin bir dev.to yazısına göre açıkları Topicus Security'den Emond Papegaaij bildirdi ve JPCERT/CC, araştırmacı ile üretici arasındaki açıklama sürecini koordine etti.

Hangi sürümler etkileniyor

Bülten beş bakımda olan dalı sayıyor: 4.7.0'dan 4.7.2'ye, 4.6.0'dan 4.6.7'ye, 4.5.0'dan 4.5.12'ye, 4.4.0'dan 4.4.17'ye ve 4.3.0'dan 4.3.20'ye kadar olan sürümler. Düzeltmeler her dal için birer sürüm olan 4.7.3, 4.6.8, 4.5.13, 4.4.18 ve 4.3.21'de yer alıyor. Yedi CVE'den altısı, emekliye ayrılmış 3.5.x ile 4.2.x serilerine de uzanıyor; sertifika hatasının geçmişi ise daha kısa ve 4.0.x'te başlıyor. Eski serilerin desteği sona erdiği için dev.to yazısı, bu sürümlerde çalışan cluster'ların geleceği asla gelmeyecek bir backport değil, dal yükseltmesi beklediğinin altını çiziyor.

Sertifika atlatması ayrıntıları

CVE-2026-92868, CWE-295 (hatalı sertifika doğrulama) olarak sınıflandırılıyor; CVSS v4 taban puanı 6.9, v3 puanı 6.5. Vektörü düşük saldırı karmaşıklığıyla ağ üzerinden erişilebilir durumda ve ne ayrıcalık ne de kullanıcı etkileşimi gerektiriyor. Kavramsal olarak, istemci sertifikası denetimi, gelen bağlantıyı önceden doğrulanmış bir anahtarla ilişkilendirmek için vardır; denetimin kendisi hatalı yazıldığında zayıf halka sertifikadan çok doğrulama adımı olur. Bülten söz konusu alt sistemi adlandırmıyor; dev.to yazarı bu nedenle gerçek dünyadaki etkinin, TLS istemci sertifikası kimlik doğrulamasının fiilen etkin olup olmadığına bağlı olduğunu savunuyor. İstemcilerden hiç sertifika istemeyen bir dağıtımın bu belirli kusurdan kaybedeceği şey azdır.

Diğer altı CVE

CVE	Zayıflık	CVSS v4 / v3	Bülten etkisi
CVE-2026-92867	Sınır dışına yazma (CWE-787)	8.7 / 8.8	Süreç sonlandırma ve keyfi kod çalıştırma
CVE-2026-92869	Sınır dışına yazma (CWE-787)	7.1 / 6.5	Anormal süreç sonlandırması
CVE-2026-92870	Stack buffer overflow (CWE-121)	8.7 / 7.5	Anormal süreç sonlandırması
CVE-2026-92871	NULL pointer dereference (CWE-476)	8.7 / 7.5	Watchdog sürecinin sonlandırılması
CVE-2026-92872	Günlüklere hassas veri yazılması (CWE-532)	5.3 / 4.3	Cluster bilgi sızıntısı
CVE-2026-92873	Hatalı kimlik doğrulama algoritması (CWE-303)	6.9 / 7.3	Keyfi watchdog düğümünün leader'a yükseltilmesi

Yediden ikisi, CVE-2026-92867 ve CVE-2026-92869, tetiklenebilmek için ağ yolunda düşük ayrıcalıklı bir foothold gerektiriyor; diğer beşi kimlik bilgisi olmadan erişilebilir. Sonuca göre sıralandığında dev.to analizi CVE-2026-92867'yi ilk sıraya koyuyor, çünkü bir connection pooler üzerinde kod çalıştırma, saldırganı veritabanı kimlik bilgilerini saklayan ve her sorguyu ileten bileşenin içine yerleştiriyor. Onu CVE-2026-92873 izliyor: watchdog leader'ı failover kararlarını koordine ettiğinden, bu role yükseltilmiş sahte bir düğüm cluster'ın arızalara nasıl tepki vereceğini yönlendirebilir.

Ne kadar açığa çıkıyor

app="Pgpool-II" parmak iziyle yapılan bir ZoomEye araması, 29 Eylül 2026'da çalıştığında internetten görülebilen 101 örnek döndürdü. Yeni CVE'ye etiketlenmiş bir sorgu sıfır sonuç verdi; makale bunu, parmak izi verisinin taze bir açıklamayı yakalamak için zamana ihtiyaç duymasına bağlıyor. 101 rakamı ne bu örneklerin yamasız olduğunu kanıtlar ne de yalnızca özel ağlarda erişilebilen cluster'ları kapsar; bu nedenle en doğru okuma, internete bakan middleware için kaba bir ölçek tahmini olmasıdır.

Neden önemli

Pgpool-II, uygulamalar ile PostgreSQL arasında doğrudan veri yolunda durur: veritabanı kimlik bilgilerini tutar, bağlantıları havuzlar ve her sorguyu yönlendirir. Ağdan erişilebilen bir kimlik doğrulama atlatmasını, olası bir kod çalıştırma açlığıyla ve watchdog liderliğini manipüle etme yoluyla birleştiren bir yığın, operatörlerin en çok önemsediği üç şeye dokunuyor: kimin bağlanabileceği, makinede neyin çalışacağı ve failover'ın nasıl davranacağı. İstemci sertifikası kimlik doğrulaması genellikle tam da çevre ağının güvenilmemesi nedeniyle devreye alınır; bu denetimin sessizce atlatılması, birçok ekibin ayakta olduğunu varsaydığı bir kontrole el koyar. Makalenin altını çizdiği envanter sorunu da gerçek, çünkü pooler'lar çoğu zaman kimsenin kurduğunu hatırlamadığı eski minor sürümleri paketleyen, izlenmeyen container sidecar'ları olarak çalışıyor.

Operatörler ne yapmalı

Her düğümü kendi dalının düzeltülmüş sürümüne yükseltin, ardından sürümü bir paket listesinden değil çalışan binary'den okuyarak doğrulayın; zira dağıtımlar ve imajlar bazen yöneticilerin kurulu olduğuna inandığından geride kalır ve kısmi bir dağıtım arkada karışık sürümler bırakır. 4.2.x veya daha eski sürümlerdeki cluster'lar bakımda olan bir dala geçmek zorunda. Güncellemenin beklemek zorunda kaldığı yerlerde önerilen geçici önlemler, Pgpool-II listener'ına kimlerin erişebileceğini kısıtlamak ve beklenmeyen istemci bağlantıları için yakın tarihli günlükleri incelemektir; ancak üretici bülteninin kendisi yalnızca güncellemeyi önerdiğini, bunun ötesindeki her şeyin resmi kılavuz değil operasyonel takdir olduğunu da eklemek gerek.