PostgreSQLに28件の脆弱性、14系は11月12日で更新終了

やること

PostgreSQL（データベースのソフト）を8月13日の修正版以降へ更新してください。修正版は 18.6、17.11、16.15、15.19、14.24 です。

• 同じ系統の中の更新なので、データの入れ直しや pg_upgrade は要りません。サーバーを止めて、プログラムを入れ替えてください
• Ubuntu は apt で更新し、PostgreSQL を再起動してください。USN-8653-1 が8月20日に出ています
• 14系は11月12日で修正の提供が終わるので、新しい系統へ移る計画を立ててください

次の定例の更新は11月12日の予定ですが、変わることがあります。公式の予定表には、その次が2027年2月11日と載っています。

更新のあとに追加の作業が要る場合があります。公式の案内にある3つを確かめてください。

• GIN インデックスを持つテーブル。並列でインデックスを作ったときの不具合で、テーブルの行数の推定値が Infinity や NaN になることがあります。この状態だと自動の統計更新が対象のテーブルを処理できず、自然には直りません。公式の案内にある確認用の SQL を実行し、おかしければ対象のテーブルで ANALYZE を実行します
• btree_gist のインデックス。float4・float8 の列で NaN を含みうるものと、bit・bit varying の列のものは、REINDEX でインデックスを作り直します
• ltree の btree インデックス。ラベルが約14,653個を超える値がある場合は、壊れている可能性があるので REINDEX します

過去の更新を飛ばしている場合も、追加の手順が要ることがあります。飛ばした版のリリースノートを読んでください。

14系、15系、16系では、WAL（更新の記録）の再生中に起きるデッドロックの修正も入っています。前回の更新で入った不具合で、古い版が作った WAL を新しい版のスタンバイが再生すると止まることがあります。レプリカ構成の場合は、更新の順序を提供元の案内で確かめてください。

何が危ないのか

8月13日の更新で28件の CVE が修正されました。公式の一覧の CVSS（v3）で見ると、7.0以上が18件、4.0〜6.9が7件、3.9以下が3件です。最高は 8.8 です。

多いのは、ログイン済みの利用者が、データベースを動かす OS のユーザーの権限でコードを実行できる欠陥です。CVE-2026-14664（正規表現）、CVE-2026-16239（カーソルの CLOSE と DECLARE の組み合わせ）、to_char 関数の CVE-2026-14669 などがあります。CVSS のベクトルでは、ネットワークから届き、低い権限があれば足りる評価です。アプリ用のアカウントが盗まれると、サーバーそのものが危なくなるおそれがあります。

CVE-2026-14679 は CVSS 8.2 で、公式の説明では、オブジェクトを作る利用者が OUT パラメーターの数を通じてサーバーのメモリへ書き込めます。書けるのは 0x0 と 0x1 だけで、公式は影響を「不明」としています。CVSS では必要な権限が「なし」と評価されていますが、説明との関係は公式のページに書かれていません。

CVE-2026-15741 は SQL インジェクションで、操作する人がいる前提の評価です。CVE-2026-18408 は psql（コマンドラインの操作ソフト）の欠陥で、ダンプ元のサーバーの管理者が、ダンプを読み込む側の psql でコードを実行できるものです。このほか CVE-2026-6464 の psql、CVE-2026-19385 の pg_dump、CVE-2026-16241 の ECPG はクライアント側の欠陥です。サーバーだけでなく、バックアップや移行に使う端末のクライアントも更新の対象です。

一部の欠陥は特定の拡張機能にあります。pg_stat_statements、refint、fuzzystrmatch、pgcrypto、pg_trgm、amcheck、plperl、pltcl が挙がっています。拡張を使っていないと当たらないかどうかは、公式のページに書かれていません。

認証の情報にかかわるものもあります。CVE-2026-14672 は、scram_iterations を既定以外にしている場合に、応答の違いからユーザーが存在するかどうかが分かります。

公式のページには、悪用についての記載はありません。

対象

18系から14系までのすべてが対象ですが、一部の欠陥は特定の系統だけに当たります。たとえば CVE-2026-16238 と CVE-2026-14676 は 18系、CVE-2026-14681 は 18系と 17系、CVE-2026-14672 は 18系から 16系です。

Ubuntu の標準のパッケージは、26.04 LTS が 18系、24.04 LTS が 16系、22.04 LTS が 14系です。Ubuntu のバージョンは 16.15-0ubuntu0.24.04.1 のように、公式のバージョン番号に Ubuntu の番号が付きます。14系の公式の提供が終わったあとの扱いは、Ubuntu の案内を確かめてください。

中小企業が学べること

アプリの接続用アカウントは、必要な権限だけにします。多くの欠陥は「ログインできる人」が前提なので、アカウントが盗まれたときの被害の大きさは、与えた権限で決まります。pg_hba.conf で接続元の IP アドレスを絞り、外のネットワークから直接つなげない構成にしておくと、攻撃を始められる場所も減ります。

サポートの終了日は、使い始めのときに台帳へ書いておきます。メジャーバージョンの提供は初回のリリースから5年で、14系は2021年9月30日に出ました。移行は数か月かかることがあるので、終了の半年前までに試験の環境で動作を確かめておくと、慌てずに済みます。