CVE-2026-119923: RCE critica in Babelfish for PostgreSQL

Il CVE-2026-119923 è una vulnerabilità di heap buffer overflow e NULL-pointer-dereference nel parser TDS prelogin di Babelfish for PostgreSQL extension e Amazon Aurora PostgreSQL with Babelfish. La falla permette a attaccanti remoti di eseguire comandi arbitrari del sistema operativo con i privilegi dell'utente processo database, senza necessità di autenticazione. Colpisce versioni critiche della estensione (1.0-1.5, 2.1-2.15, 3.1-3.12, 4.0-4.8, 5.1-5.4) e molteplici versioni di Aurora PostgreSQL.

La gravità è dichiarata critical con CVSS 9,8, poiché l'accesso è remoto, il vettore di attacco è il protocollo TDS prelogin (porta default 1433), e l'impatto è esecuzione di codice arbitrario con privilegi elevati del processo. La vulnerabilità è stata pubblicata ufficialmente da NVD il 6 novembre 2026 e patch ufficiali sono state rese disponibili da AWS con versioni specifiche per ogni versione di Aurora PostgreSQL. Segnali su X confermano la diffusione della consapevolezza della falla tra amministratori e team di sicurezza negli ultimi due giorni.

Per difesa: installare immediatamente le versioni corrette di Babelfish extension (4.10, 5.6, 6.1 o successive) oppure aggiornare il cluster Aurora PostgreSQL alle versioni patch specificate da AWS (dalla 13.9.16 alla 18.4.1 a seconda della versione attuale). Come mitigazione temporanea, restringere l'accesso di rete alla porta TDS (default 1433) ai soli sistemi autorizzati usando security group e network firewall. Verificare inventario dei cluster Aurora PostgreSQL con Babelfish e pianificare finestra di manutenzione prioritaria.