「PostgreSQL」にセキュリティアップデート、任意コード実行を含む28件の脆弱性に対処

「PostgreSQL」にセキュリティアップデート

　オープンソースのリレーショナルデータベース（RDB）システム「PostgreSQL」で8月13日、セキュリティアップデートが実施された。ここ数カ月に報告された110件を超える不具合が修正されている。

　アップデートが推奨されるのは、以下のバージョン。次期メジャーバージョン「PostgreSQL 19」でもBeta 3がリリースされている。

• PostgreSQL 18.6
• PostgreSQL 17.11
• PostgreSQL 16.15
• PostgreSQL 15.19
• PostgreSQL 14.24

　「PostgreSQL 18」系ではリグレッション（機能後退）が原因でv18.5が出荷されなかった。そのため、v18.4からv18.6への更新となる。

　本リリースで修正された脆弱性は、以下の28件（括弧内は「CVSS 3.1」の基本値）。最大深刻度は「8.8」で、最悪の場合は任意のコードが実行されるおそれがある。

• CVE-2026-6464：psql COPY FROM STDIN early failure processes data lines as psql commands（8.1）
• CVE-2026-6469：ALTER TABLE ALTER TYPE resets extended statistics ownership（3.8）
• CVE-2026-6470：Fails to check type USAGE privilege（4.3）
• CVE-2026-6471：Logical decoding can dlopen arbitrary file（7.2）
• CVE-2026-14662：tsvector and tsquery undersize allocations, via integer wraparound（8.8）
• CVE-2026-14663：pgcrypto, for OpenSSL-disabled ciphers, silently encrypts to and decrypts from cleartext（6.5）
• CVE-2026-14664：Regexp heap buffer overflow executes arbitrary code（8.8）
• CVE-2026-14666：Row security caching disregards role modifications（4.2）
• CVE-2026-14668：ctid type confusion in selectivity estimator discloses derivative of arbitrary read（8.1）
• CVE-2026-14669：to_char heap buffer overflow executes arbitrary code（8.8）
• CVE-2026-14670：plperl tied object heap buffer overflow executes arbitrary code（8.8）
• CVE-2026-14671：refint plan cache type confusion executes arbitrary code（8.8）
• CVE-2026-14672：Observable response discrepancy with non-default scram_iterations provides user existence oracle（5.3）
• CVE-2026-14673：amcheck does not clear untrusted search path（3.8）
• CVE-2026-14676：pg_stat_statements heap buffer overflow executes arbitrary code（8.8）
• CVE-2026-14677：32-bit pltcl and plperl undersize allocations, via integer wraparound（8.8）
• CVE-2026-14678：pg_trgm picksplit reads past end of buffer（4.3）
• CVE-2026-14679：Stack buffer overflow in argument match writes 0x0 and 0x1 to server memory（8.2）
• CVE-2026-14680：Type confusion via "internal" arguments（8.8）
• CVE-2026-14681：Improper enforcement of GSSAPI encryption when coupled with SSL（4.2）
• CVE-2026-15741：Expression deparse allows SQL injection via EXTRACT argument（8.8）
• CVE-2026-15742：fuzzystrmatch writes effectively-arbitrary addresses, via integer wraparound（8.8）
• CVE-2026-16238：Type confusion in pg_restore_attribute_stats() executes arbitrary code（8.8）
• CVE-2026-16239：Type confusion in cursor CLOSE + DECLARE executes arbitrary code（8.8）
• CVE-2026-16241：ECPG integer underflow can crash the client（3.8）
• CVE-2026-18024：ascii() function reads past end of buffer（4.3）
• CVE-2026-18408：psql unrestrict lets superuser of pg_dump origin server execute arbitrary code in psql client（8.8）
• CVE-2026-19385：pg_dump heap buffer overflow executes arbitrary code（8.8）

　「PostgreSQL 19 Beta 3」にアップグレードする場合を除き、今回のマイナーアップデートでは、データベースのダンプと再読み込みや「pg_upgrade」の実行は不要。サーバーを停止し、バイナリを更新することで適用できる。

　ただし、GINインデックスを利用している場合は、更新後に「reltuples」の値を確認しておきたい。また、「btree_gist」の一部インデックスや、非常に多くのラベルを含む「ltree」のB-treeインデックスでは、再インデックスが必要になる場合がある。

　「PostgreSQL」はWindows/macOS/Linux/BSD/Solarisなどに対応しており、現在、公式サイト「postgresql.org」から無償でダウンロード可能。Windows版インストーラーは64bit環境にのみ対応しており、EDBのWebサイトから入手できる。

　なお、「PostgreSQL 14」は2026年11月12日でサポートが終了する。本番環境で運用しているのであれば、サポート中の新しいバージョンへ移行する計画を立てておきたい。