PostgreSQL Global Development Groupは11月12日、PostgreSQL 18.7、17.12、16.16、15.20、14.25を公開しました。今回の更新では、52件のセキュリティ脆弱性と140件を超えるその他のバグを修正しています。
コード実行につながる脆弱性の大半は、メモリエラーか型の取り違え（PostgreSQLが値を誤ったデータ型として扱う問題）です。影響を受けるのは、PL/PerlとPL/Tcl、ts_rank_cd()などのテキスト検索関数、パラレルクエリ、論理レプリケーション、dblink、統計情報のインポートです。52件のCVEのうち32件はCVSSスコアが8.8で、今回の修正分では最も高い値です。最も低いのはキャスト関数のEXECUTE権限を回避できる問題で、スコアは3.1です。
修正はPostgreSQLのクライアントツールにも及んでいます。pg_dumpユーティリティには、NOT NULL制約名を介したSQLインジェクションの問題がありました。また、tar形式のリストアスクリプトでは、psqlコマンドインジェクションを防げていませんでした。reindexdbツールでは、インデックス名のクォート処理に不備がありました。他のユーザーがオブジェクトを作成して名前を付けられるデータベースに対してこれらのツールを使う場合は、サーバーとあわせてクライアントのバイナリも更新してください。
一部の修正では再インデックスが必要
いくつかのバグ修正では、新しいバイナリを適用した後に追加の作業が必要です。破損の疑いがあるGINインデックスは、再インデックスしてください。gist_trgm_opsを使用するpg_trgmのGiSTインデックスと、長さを指定せずに宣言したbpchar列のB-treeインデックスも同様です。「missing chunk number」エラーが発生するテーブルには、REINDEX TABLEを実行する必要があります。増分バックアップを利用している管理者は、新たにフルバックアップを取得し、以降の増分バックアップをそれに基づいて作成してください。修正されたバグのいくつかが、破損したバックアップを生成するおそれがあったためです。
PostgreSQL 14は終了
バージョン14.25はPostgreSQL 14の最終リリースで、今後はセキュリティ修正もバグ修正も提供されません。引き続き14を運用しているサーバーは、サポート対象のバージョンへ移行する計画が必要です。
プロジェクトはPostgreSQL 19 RC 2も公開しました。正式版（GA）は11月19日にリリースされる予定です。19をテストした方は、RC 2で次の変更が入った点にご注意ください。式インデックス、生成列、パーティションキーにおける、配列・複合型・範囲型に対するJSON_ARRAY()およびJSON_OBJECT()のサポートが取り消されています。この方法で作成したオブジェクトは、アップグレード前に削除または再定義する必要があります。
翻訳元: https://www.helpnetsecurity.com/2026/11/13/postgresql-security-update-november-2026/
