人工智能在PostgreSQL和MariaDB中发现了已有20年历史的漏洞
人工智能工具协助发现PostgreSQL和MariaDB中潜伏约二十年的高危漏洞。PostgreSQL的pgcrypto扩展存在缓冲区溢出漏洞，影响所有版本，CVSS评分达8.8分；同时另一缺失验证的漏洞也允许执行任意代码。MariaDB的JSON_SCHEMA_VALID()函数同样存在缓冲区溢出问题，可导致数据库崩溃甚至远程代码执行。相关补丁已发布，维护
开源数据库领域最近不太平静，一系列新披露的高危漏洞，把内存安全问题再次推到了聚光灯下。有意思的是，这次人工智能工具扮演了关键角色，帮助研究人员从那些广泛使用的核心组件中，揪出了潜伏长达二十多年的“陈年旧疾”。
安全研究团队Wiz在其“零日云黑客”项目中，利用其AI驱动的安全分析工具“Xint Code”，成功发现了两个影响重大的远程代码执行（RCE）漏洞：一个藏身于PostgreSQL的“pgcrypto”扩展中，另一个则潜伏在MariaDB的JSON模式验证逻辑里。不仅如此，团队还顺藤摸瓜，在PostgreSQL中发现了一个缺失了二十年验证的漏洞。目前，相关补丁均已发布，两家数据库的维护方也都在紧急敦促用户立即升级。
PostgreSQL 的基础中不止一个漏洞
其中，PostgreSQL的“pgcrypto”扩展漏洞（CVE-2026-2005）尤为紧迫。这是一个基于堆的缓冲区溢出问题。简单来说，攻击者可以通过构造特定的输入数据，触发一个大小不匹配的错误，从而在堆内存上执行异常的写入操作。在pgcrypto处理用户可控输入的场景下，这个漏洞就能被用来在数据库服务器上实现远程代码执行。
这个漏洞影响所有受支持的PostgreSQL版本，其CVSS评分高达8.8分（满分10分）。更令人咋舌的是，有研究人员指出，这段有问题的代码自2005年pgcrypto扩展首次问世时就已存在，可谓“历史悠久”。好在，官方已在v18.2、v17.8、v16.12、v15.16和v14.21等更新版本中修复了它。
但PostgreSQL的麻烦不止于此。另一组以“Team Bugz Bunnies”名义参与Wiz项目的研究人员，还发现了一个缺失验证的漏洞（CVE-2026-2006），该漏洞同样允许执行任意代码，严重性评级接近9分，并且已在修复CVE-2026-2005的同一批更新中得到了修补。
PostgreSQL维护方在漏洞公开后，强烈敦促用户尽快打上补丁。毕竟，攻击者一旦获得利用代码，后果不堪设想。虽然漏洞在二月份就已修复，但Wiz的一项后续分析显示，云环境中高达80%的实例在使用PostgreSQL，其中更有45%直接暴露在互联网上，这无疑大大增加了潜在风险。
JSON解析不足使得RCE在MariaDB服务器上得以实现
视线转到MariaDB这边，问题出在JSON_SCHEMA_VALID()函数上。Xint Code工具在这里发现了一个缓冲区溢出漏洞（CVE-2026-32710）。该漏洞允许经过身份验证的用户触发数据库崩溃，在特定受控的实验室环境下，甚至可以进一步升级为远程代码执行。
不过，相比PostgreSQL的漏洞，在MariaDB上实现利用的门槛要稍高一些。成功执行代码需要对内存布局进行精细操作，这在真实的复杂生产环境中实现起来并不容易。但话又说回来，风险依然存在。任何能够通过窃取的凭据、SQL注入攻击或内部横向移动等手段开启SQL会话的用户，都有可能通过调用这个有问题的函数，触及到存在缺陷的代码路径。
正软商城本月促销专区，汇集办公、设计、安全、影音、系统工具及AI软件等正版软件优惠活动，提供限时折扣、特价授权和优惠购买信息，活动库存及价格以页面实时展示为准。
正软商城装机必备专区，精选办公、浏览器、安全防护、影音播放、压缩解压、设计创作和系统工具等电脑常用正版软件，帮助用户快速完成新电脑软件配置。
正软商城Windows软件专区，汇集适用于Windows电脑的办公、设计、安全防护、影音播放、开发工具和系统优化软件，提供软件介绍、系统要求、正版授权及购买下载服务。
正软商城macOS软件专区，精选适用于Mac电脑的办公、设计、影音、效率、开发和系统工具，提供软件功能介绍、macOS兼容版本、正版授权及购买下载服务。
正软商城iOS软件专区，精选适用于iPhone和iPad的办公、学习、影音、设计、效率及AI应用，提供功能介绍、适用设备、系统要求和正版获取方式等信息。
正软商城AI软件专区，汇集AI写作、AI绘画、AI视频、AI办公、AI编程、AI翻译、智能客服和数据分析等人工智能工具，提供功能介绍、适用平台、收费方式及正版购买信息。
正软商城PDF教程频道提供PDF编辑、转换、合并、拆分、压缩及格式处理方法，同时介绍常用PDF软件和工具的使用技巧。
赤友清理大师是一款为 Mac 设计的智能清理优化工具，可精准扫描垃圾、大文件、重复文件等，释放磁盘空间。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
极度公式是一款跨平台专业LaTeX公式识别编辑软件，支持OCR公式识别和多平台编辑。和使用说明，避免使用，享受完整功能与稳定支持。做扫描整理、文字提取和表格转换时，它能把识别后的处理步骤接得更顺，资料录入这类场景会省下不少时间。
一款文字处理软件，一种订阅式的跨平台办公软件，基于云平台提供多种服务，通过将 Excel 和 Outlook 等应用与 OneDrive 和 Microsoft Teams 等强大的云服务相结合，Office 365 可让任何人使用任何设备随时随地创建和共享内容。
Wise Folder Hider Pro 是一款专业级文件和文件夹隐藏加密软件，为私密数据添加多重保护。高频操作更强调就近处理，浏览、整理和跨目录移动文件时，来回切换和重复点击都会少很多。
CodeExpander 是一款快捷短语输入增强工具，通过键入缩写自动展开为自定义文段，提升工作效率。任务管理和过程控制会更完整，持续下载、批量同步或需要稳定传输流程的场景会更适合它。
Mountain Duck 是一款能将多个网盘挂载到本地的工具，像本地磁盘一样使用网盘。清理链路的完整性会更好一些，做应用卸载、残留处理和空间整理时，通常能少走很多手动排查步骤。
