PostgreSQLの脆弱性がデータベースをリモートコード実行とSQLインジェクションに晒す

PostgreSQLは、広く導入されているデータベース環境でリモートコード実行(RCE)、SQLインジェクション、サービス妨害(DoS)攻撃を可能にする可能性のある複数の大きな影響を持つ脆弱性に対処する重大なセキュリティアップデートをリリースしました。

PostgreSQL Global Development Groupは、バージョン18.4、17.10、16.14、15.18、14.23のリリースを発表し、11個のセキュリティ脆弱性と60個以上のバグを修正しました。

これらの脆弱性はPostgreSQLバージョン14から18に影響し、特にユーザー入力またはレプリケーション機能が露出している場合、データベース駆動型アプリケーションに依存するエンタープライズシステムに重大なリスクをもたらします。

パッチ適用された複数の脆弱性により、攻撃者は任意のSQLコマンドを実行したり、特定の条件下ではコード実行を達成したりできます。特に、メモリ破損、権限昇格、インジェクション脆弱性がこのリリースを支配しており、即座のパッチ適用が重要です。

例えば、refintモジュールの脆弱性により、権限のないユーザーがスタックバッファオーバーフローをトリガーでき、ホストシステムでのリモートコード実行につながる可能性があります。同様に、レプリケーション機能のSQLインジェクションバグにより、攻撃者は昇格された権限で無許可のクエリを実行できます。

PostgreSQLの脆弱性(CVEリスト)

• CVE-2026-6472(CVSS 5.4): CREATE TYPEの認可不足により、攻撃者はsearch_path経由でクエリをハイジャックし、任意のSQL関数を実行できます。
• CVE-2026-6473(CVSS 8.8): 整数オーバーフローは範囲外の書き込みとサーバーのクラッシュを引き起こします(潜在的なメモリ破損ベクトル)。
• CVE-2026-6474(CVSS 4.3): timeofday()のフォーマット文字列の問題により、サーバーメモリの一部が漏らされます。
• CVE-2026-6475(CVSS 8.8): pg_basebackupとpg_rewindのシンボリックリンク攻撃により、任意のファイルを上書きできます。
• CVE-2026-6476(CVSS 7.2): pg_createsubscriberのSQLインジェクションにより、スーパーユーザーとして任意のSQLを実行できます。
• CVE-2026-6477(CVSS 8.8): libpq lo_*関数により、サーバーはクライアントのメモリバッファを上書きできます。
• CVE-2026-6478(CVSS 6.5): タイミング攻撃により、認証中にMD5ハッシュ化されたパスワードが露出します。
• CVE-2026-6479(CVSS 7.5): SSL/GSS再帰の欠陥により、ソケット接続経由でサービス妨害が可能になります。
• CVE-2026-6575(CVSS 4.3): pg_restore_attribute_statsのバッファオーバーリードにより、メモリデータが漏らされます(PostgreSQL 18のみ)。
• CVE-2026-6637(CVSS 8.8): refintモジュールはスタックオーバーフローとSQLインジェクションを可能にし、RCEの可能性があります。
• CVE-2026-6638(CVSS 3.7): 論理レプリケーションのテーブル名経由のREFRESH PUBLICATIONのSQLインジェクション。

影響を受けるバージョン

• PostgreSQL 14から18が影響を受けています。
• 具体的な修正は以下に含まれています:
  • 18.4
  • 17.10
  • 16.14
  • 15.18
  • 14.23

これらのリリース前の古いマイナーバージョンは脆弱性のままです。

セキュリティパッチ以外に、このアップデートはクエリの正確性、レプリケーションの信頼性、バックアップ処理、パフォーマンス最適化に影響する60個以上のバグを解決しています。改善にはパーティション削減の改善、外部キー動作の修正、レプリケーション処理の強化が含まれます。

このリリースはタイムゾーンデータをtzdata 2026bに更新し、ブリティッシュコロンビアが2026年11月から恒久的な夏時間を採用するなどの地域的な時間変更を反映しています。

軽減策と推奨事項

PostgreSQLを使用している組織は直ちに対応すべきです:

• 最新のパッチ適用版(18.4、17.10、16.14、15.18、14.23)にアップグレードしてください。
• MD5パスワード認証の使用を避け、SCRAM-SHA-256に切り替えてください。
• レプリケーションおよびサブスクリプション関連のロールの権限を制限してください。
• refintやレプリケーション機能などの拡張機能の使用を監査してください。
• 悪用の試みを示す異常なクエリやクラッシュを監視してください。

PostgreSQL 14は2026年11月12日にサポート終了に達します。この日付以降、セキュリティアップデートを受け取らなくなり、将来の脆弱性への露出が増加します。ユーザーは新しいサポートされているバージョンへの移行を強く推奨されます。

このリリースは、特に論理レプリケーションやクライアントライブラリなどの機能におけるデータベース攻撃面の複雑さの増加を強調しています。タイムリーなパッチ適用とセキュアな設定は、データベースインフラストラクチャを対象とした進化する脅威から防御するのに引き続き不可欠です。