PostgreSQLが52件の脆弱性を修正、14系はサポート終了へ
PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25, and 19 RC 2 Released
PostgreSQL Global Development Groupが18.7、17.12、16.16、15.20、14.25と19 RC 2を公開した。修正されたセキュリティ脆弱性は52件、バグ修正は140件超に上る。任意コード実行につながる型混同やuse-after-freeが多数含まれ、GINインデックスやpg_trgmのGiSTインデックス、増分バックアップの破損修正では更新後の再インデックスやフルバックアップの取り直しが必要になる。今回がPostgreSQL 14の最終リリースで、以後はサポートされない。
今回がPostgreSQL 14の最終リリースです。PostgreSQL 14はサポート終了となり、セキュリティ修正やバグ修正は提供されなくなります。
HNでの議論
12- ianberdin
こうしたセキュリティパッチの数々を見ていると、子どもの頃にアパートを徹底的に掃除して、あらゆる隙間のホコリを一つ残らず拭き取ったのに、2日後にはすっかり元通りになっていたことを思い出す。そして思ったんだ。本当にこれを一生やり続けるのか？と。
- firer
これらはすべて認証後の問題のようだ。ただしCVE-2026-116322は例外で（これはコード実行を許すものではなく、「単なる」DoSだ）。
約1年前、Wizのzeroday.cloudコンテストの一環として、私もCVE-2026-2004を発見し悪用した。これもPostgresの認証後RCEだ。
このターゲットを選んだのは、ユーザー入力が多く非常に複雑であることが一目で際立っていたからだ。そもそもこれをセキュリティ境界と定義すること自体が悪い考えだと思う。データベースへのアクセスはコード実行につながる可能性が非常に高い——攻撃面が多すぎる。
ほとんどの真面目なクラウドプロバイダーが自社のDBサービスをきちんとサンドボックス化しているのは、まさにこの理由からだ。そして今年のzeroday.cloudコンテストでは、まさにこの理由から認証済みPostgresはターゲットから外されている。
- lfittl
参考までに、CVEの全体的な範囲を把握するにはリリースノート（https://www.postgresql.org/docs/release/18.7/）を見る方が簡単だった——アナウンスから個々のCVEページへのリンクはあるが、ざっと目を通すのは難しい。