PostgreSQLが11件の脆弱性を修正、CVE-2026-6637など危険度度が高い脆弱性に注意-PostgreSQL 14は2026年11月にEOLへ

PostgreSQL Global Development Groupは2026年5月14日、PostgreSQL 18.4、17.10、16.14、15.18、14.23を公開しました。今回のリリースでは、11件のセキュリティ脆弱性と60件超の不具合が修正されています。

今回の更新で特に注意が必要なのは、CVSS v3.1スコア8.8の脆弱性が複数含まれている点です。PostgreSQLサーバ側のメモリ破壊、refintモジュールにおける任意コード実行、libpq経由のクライアント側メモリ破壊、pg_basebackupやpg_rewindのファイル上書きなど、運用形態によってはデータベースサーバや管理端末に影響する可能性があります。

また、PostgreSQL 14については、2026年11月12日に修正提供が終了することもあわせて告知されました。PostgreSQL 14を本番環境で利用している組織は、今回のマイナーアップデート対応だけでなく、PostgreSQL 15以降への移行計画も進める必要があります。

この記事のサマリー

• PostgreSQL 18.4、17.10、16.14、15.18、14.23が公開されました。
• 今回のリリースでは、11件のセキュリティ脆弱性と60件超の不具合が修正されています。
• CVSS 8.8の高危険度脆弱性として、CVE-2026-6473、CVE-2026-6475、CVE-2026-6477、CVE-2026-6637が含まれます。
• 影響範囲はPostgreSQL 14〜18が中心ですが、一部はPostgreSQL 16〜18、17〜18、18のみが対象です。
• PostgreSQL 14は2026年11月12日に修正提供が終了します。
• PostgreSQLのマイナーアップデートでは、通常、ダンプ・リストアやpg_upgradeは不要で、バイナリ更新とサービス再起動で対応できます。
• 情シス・DBA・SREは、稼働中のPostgreSQLバージョン、利用拡張、バックアップ運用、論理レプリケーション、MD5認証の有無を確認する必要があります。

何が起きたか

PostgreSQL Global Development Groupは、サポート対象の全ブランチに対するセキュリティアップデートとして、PostgreSQL 18.4、17.10、16.14、15.18、14.23を公開しました。今回のリリースは、11件のセキュリティ脆弱性と60件超の不具合修正を含みます。

PostgreSQL 14〜18の広い範囲に影響する脆弱性が複数含まれており、特にCVSS 8.8の脆弱性は、任意コード実行、メモリ破壊、ファイル上書き、クライアントツールへの影響など、運用形態によって深刻な被害につながる可能性があります。

影響範囲

影響を受けるのは、PostgreSQL 18.4、17.10、16.14、15.18、14.23より前の対象バージョンです。

PostgreSQL 14〜18の全般に影響する脆弱性が多く含まれていますが、一部の脆弱性は特定バージョンに限定されます。

CVE-2026-6476はPostgreSQL 17〜18、CVE-2026-6638はPostgreSQL 16〜18、CVE-2026-6575はPostgreSQL 18のみが対象です。

修正された主な脆弱性

特に注意すべき脆弱性

CVE-2026-6637：refintモジュールで任意コード実行の恐れ

CVE-2026-6637は、PostgreSQLのrefintモジュールに存在するスタックバッファオーバーフローとSQLインジェクションの脆弱性です。

公式発表では、権限のないデータベースユーザーが、データベースを実行しているOSユーザーの権限で任意コードを実行できる可能性があると説明されています。また、アプリケーションがユーザー制御可能な列をrefintのカスケード主キーとして扱い、その列の更新を許可している場合、SQLインジェクションにより更新実行ユーザーの権限で任意SQLを実行される可能性もあります。

refintは現在の一般的な設計では積極的に使われる機能ではありませんが、古いアプリケーションやレガシーDB、過去に構築された業務システムでは残っている可能性があります。PostgreSQLを長期間運用している環境では、拡張機能や古いモジュールの利用有無を確認する必要があります。

CVE-2026-6477：libpq経由でpg_dumpやpsqlにも影響

CVE-2026-6477は、PostgreSQLのクライアントライブラリlibpqのlo_export()、lo_read()、lo_lseek64()、lo_tell64()などに関係する脆弱性です。

公式発表では、サーバスーパーユーザーが任意に大きいレスポンスを返すことで、クライアント側のスタックバッファを上書きできる可能性があると説明されています。psqlの\lo_exportやpg_dumpもlo_read()を呼び出すため、悪意ある、または侵害されたデータベースサーバに接続してバックアップや操作を行うクライアント側に影響する可能性があります。

この脆弱性は、PostgreSQLサーバだけを更新すればよい問題ではありません。DB管理者の端末、バックアップサーバ、CI/CD内のダンプ取得ジョブ、移行用サーバにインストールされているpsqlやpg_dump、libpqも確認対象です。

CVE-2026-6475：pg_basebackupとpg_rewindによるファイル上書き

CVE-2026-6475は、pg_basebackupのplain形式とpg_rewindにおいて、シンボリックリンクの扱いにより、元サーバのスーパーユーザーがローカル側の無関係なファイルを上書きできる可能性がある脆弱性です。公式発表では、例としてPostgreSQL OSユーザーの.bashrcの上書きが挙げられています。

PostgreSQLプロジェクトは、この攻撃が実務上問題になるのは、コマンド実行後からサーバ起動までの間に、ファイルを別VMへ移す、VMスナップショットを取得するなどの特定操作を行う場合だと説明しています。

それでも、バックアップ・リストア・レプリカ構築・災害復旧の手順にpg_basebackupやpg_rewindを組み込んでいる環境では、対象バージョンと運用手順を確認する必要があります。

CVE-2026-6473：サーバ側の整数ラップアラウンド

CVE-2026-6473は、複数のPostgreSQLサーバ機能で整数ラップアラウンドが発生し、メモリ確保サイズが不足した状態で境界外書き込みにつながる可能性がある脆弱性です。公式発表では、アプリケーション入力の提供者がこの問題を引き起こし、セグメンテーションフォルトに至る可能性があると説明されています。

直接的な情報漏えいやRCEとして説明されているわけではありませんが、データベースサーバのクラッシュは業務停止につながります。外部入力を受け付けるWebアプリケーションやSaaSでPostgreSQLを利用している場合、可用性の観点からも早期更新が必要です。

PostgreSQL 14のEOLに注意

今回のリリースでは、PostgreSQL 14のEOLも明示されました。

PostgreSQL 14は、2026年11月12日に修正提供が終了します。本番環境でPostgreSQL 14を利用している場合、PostgreSQL 15以降のサポート対象バージョンへの移行計画を進める必要があります。

PostgreSQLは、メジャーバージョンをリリースから5年間サポートし、5年経過後の最後のマイナーリリースをもってEOLとなり、その後はサポート対象外になります。

EOL後は、新たな脆弱性が見つかってもコミュニティから修正が提供されません。PostgreSQL 14を使い続ける場合、脆弱性対応、監査対応、セキュリティ基準への適合、障害時の原因切り分けでリスクが高まります。

CI/CD・コンテナ環境での確認

PostgreSQLクライアントは、アプリケーションのビルドやマイグレーション処理、バックアップ自動化、テスト環境構築のために、CI/CDやコンテナイメージ内に含まれていることがあります。

特に確認すべきなのは、以下です。

# コンテナ内で確認する例
docker run --rm your-image psql --version
docker run --rm your-image pg_dump --version

Kubernetes環境では、PostgreSQL Operator、StatefulSet、サイドカー、バックアップ用Job、CronJob、管理用Podのイメージを確認してください。

出典

• PostgreSQL Global Development Group：PostgreSQL 18.4, 17.10, 16.14, 15.18, and 14.23 Released!

関連記事

PostgreSQLで重大な脆弱性が発生(CVE-2024-10979) PostgreSQL、危険度の高い脆弱性2件や55の不具合修正(CVE-2025-8714,CVE-2025-8715) PostgreSQLのpsqlで重大度の高い脆弱性(CVE-2025-1094) PostgreSQL、5つの重大な脆弱性を修正(CVE-2026-2004,CVE-2026-2005,CVE-2026-2006,CVE-2026-2007,CVE-2026-2003) 偽のWindows Updateへ誘導するClickFix(クリックフィックス)を確認 SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887) PostgreSQL JDBCドライバに重大な認証バイパスの脆弱性-早急なパッチ適用を推奨(CVE-2025-49146) npm サプライチェーン 攻撃 Shai-Huludの新たな波-AntVエコシステムを中心に323パッケージへ637件の悪性バージョンが公開。週間ダウンロード数約1,600万件に影響 PHP 8.5.6・8.4.21・8.3.31・8.2.31で複数の脆弱性を修正

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)