深夜的机房告警灯骤然亮起一条看似不起眼的内存越界写入记录往往就是数据库被攻破的第一声警报。就在近期开源数据库领域再掀波澜——MariaDB 官方一次性披露了多个安全漏洞其中部分漏洞在特定条件下足以让攻击者远程运行代码、翻阅本该锁死的受限数据表甚至神不知鬼不觉地盗走数据库登录凭据。对于把 MariaDB 架在业务核心位置的企业和开发者来说这一轮通告绝非可以拖到下周再看的例行提醒。CONNECT 引擎里的幽灵字节CVSS 8.5 的高危威胁整份安全通告中最刺眼的莫过于编号为 CVE-2026-107815 的漏洞。它藏身于 MariaDB 的 CONNECT 存储引擎之中是一处典型的内存损坏缺陷。官方给出的 CVSS 评分高达 8.5安全等级定为高——研究人员已在实验室环境中成功演示了远程代码执行这意味着理论上的攻击链并非纸上谈兵。这个漏洞的狡猾之处在于其触发方式极为隐蔽。问题的根源出在 CONNECT 引擎处理 DOS 表的过程中程序在做边界检查时出现了疏漏攻击者可以借此向堆栈缓冲区之外、由攻击者自己选定的位置硬生生写入一个零字节。一个零字节能干什么在普通人眼里这不过是一粒尘埃。但在内存攻防的世界里精准落位的单字节覆写足以打乱栈帧结构、篡改关键指针进而引发连锁的内存损坏。多米诺骨牌一旦倒下从崩溃走向代码执行中间只隔着一层精心构造的利用代码。公告描述的攻击场景需要较低的攻击者权限、无需用户交互不过攻击复杂度偏高目前也尚未发现针对真实生产环境的已确认攻击事件——但这恰恰是留给大家修补窗口的最后时机。MariaDB 给出的硬性建议是如果你的业务用不到 CONNECT 引擎直接把它卸载别给它留任何机会。.frm 文件校验失守会咬人的表结构文件第二个值得高度警惕的漏洞是 CVE-2026-107821CVSS 评分 8.0。它瞄准的是 MariaDB 打开表结构时读取的二进制 .frm 文件。只要文件被精心构造过程序便可能在解析阶段崩溃发生越界读取或越界写入严重时同样可能滑向远程代码执行。不过这里需要泼一盆冷水想把恶意文件塞进数据库目录前提是攻击者手握 FILE 权限且服务器的 secure_file_priv 配置允许访问该目录。MariaDB 官方在通告中强调配置规范的服务器天然会封锁这条路径FILE 权限也应当被谨慎授予。换句话说如果你的服务器此前没有滥开权限这个漏洞对你的威胁会大打折扣——把及时清理多余权限写进日常运维清单从来不只是合规要求。分区操作暗藏越权通道另一枚编号 CVE-2026-102523 的漏洞同样拿到 8.0 的评分。当 MariaDB 执行 ALTER TABLE … CONVERT … PARTITION 这类操作时系统未能安全地对分区名称进行文件系统层面的编码攻击者由此可能读取或篡改超出其权限范围的表数据。利用它需要较低权限并配合一定的用户交互10.6 分支不在受影响之列。若业务暂时无法立即升级MariaDB 官方提供了禁用分区支持的临时规避方案——但动手之前务必先排查现有数据库里有没有依赖分区表的表结构一刀切禁用可能先伤到自己。客户端也难独善其身风险并不只存在于服务端。CVE-2026-107819 波及 MariaDB Connector/C 的 libmariadb 3.4.1 至 3.4.9 版本。攻击者一旦在客户端与服务器之间的链路中占据位置便可以伪造指向错误主机的合法证书并诱导客户端发起明文密码验证。由于程序缺陷客户端可能在连接尚未完成验证的情况下就把密码发送出去——数据库账号密码就这样顺着一条不可信的通道溜走了。其余 MariaDB 连接器不受影响但仅此一点就足以让众多依赖客户端连接的应用重新审视自己的链路安全。你的版本中招了吗修复清单已就位CONNECT 引擎缺陷与 .frm 文件缺陷影响的面相当广MariaDB 10.6.1 至 10.6.27、10.11.1 至 10.11.18、11.4.1 至 11.4.12、11.8.1 至 11.8.8、12.3.1 至 12.3.2 以及 13.0.1 均在波及名单上。对应的修复版本分别是 10.6.28、10.11.19、11.4.13、11.8.9、12.3.3 和 13.0.2Connector/C 则需要升级到 3.4.10。眼下该做的事并不复杂但每一步都不能省对照上面的版本区间核对自家服务器尽快安排升级在更新窗口到来之前删掉一切用不上的 CONNECT 插件逐条审计 FILE 权限的授予对象收紧数据库目录的文件访问控制客户端一侧同步检查 libmariadb 版本别留下服务端铜墙铁壁、客户端城门大开的短板。数据库安全的残酷之处就在于攻击者只需要找到一个零字节的缝隙防守方却要让每一块补丁都严丝合缝。这一次MariaDB 已经把缝隙的位置清清楚楚标了出来——要不要在下一个攻击者到来之前合上它决定权握在你手里。