PostgreSQL、28件の脆弱性を修正、CVSS 8.8は14件(CVE-2026-15741 他)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月18日更新日時: 2026年08月18日

PostgreSQL、28件の脆弱性を修正　18.6などを公開、CVSS 8.8は14件(CVE-2026-15741他)

PostgreSQL Global Development Group（PGDG）は2026年8月13日、PostgreSQL 18.6、17.11、16.15、15.19、14.24と、PostgreSQL 19 Beta 3を公開しました。今回の安定版更新では28件の脆弱性と110件超の不具合が修正されています。サーバー本体だけでなく、psqlやpg_dumpなどのクライアントツールに影響する脆弱性も含まれるため、データベースサーバーと管理端末、バックアップ・復元用のジョブ環境を分けて確認する必要があります。

PostgreSQLセキュリティアップデートのサマリー

PGDGは2026年8月13日、サポート対象の安定版5系列とPostgreSQL 19 Beta 3を公開しました。
安定版の修正版は18.6、17.11、16.15、15.19、14.24です。
28件の脆弱性が修正され、CVSS v3.1の最高値は8.8です。CVSS 8.8の脆弱性は14件あります。
多くの脆弱性はPostgreSQL 14～18に影響しますが、18のみ、17～18、16～18などに限定されるものもあります。
PostgreSQL 18.5は回帰不具合のため公開されていません。18系の利用者は18.6へ更新する必要があります。
任意コード実行につながる問題は、サーバー本体、拡張モジュール、psql、pg_dumpにまたがっています。
PostgreSQLの公式資料には、実際の攻撃で悪用されたとの記載はありません。公開PoCとIOCも公式資料から確認できませんでした。
CVE-2026-14669については、任意コード実行につながる悪用手法がプロジェクトへ報告されていますが、公開PoCや実攻撃の確認を意味するものではありません。
マイナーアップデートのため、通常はダンプ・リストアやpg_upgradeは不要です。ただし、GIN、btree_gist、ltreeを利用する環境では更新後の確認や修復が必要になる場合があります。
PostgreSQL 14は2026年11月12日に修正提供が終了するため、14系の本番利用者は更新と並行して上位メジャーへの移行を進める必要があります。
PostgreSQL 19 Beta 3は本番環境での利用が推奨されていません。

項目	内容
公表日	2026年8月13日
公表主体	PostgreSQL Global Development Group
公開された安定版	PostgreSQL 18.6、17.11、16.15、15.19、14.24
ベータ版	PostgreSQL 19 Beta 3
修正された脆弱性	28件
CVSS最高値	8.8（CVSS v3.1）
修正された不具合	110件超
実際の攻撃での悪用	PostgreSQLの公式資料では確認できませんでした
公開PoC	公式資料では確認できませんでした
CISA KEV	2026年8月17日時点で、28件の掲載は確認できませんでした
IOC	公式資料では確認できませんでした
主な対応	修正版への更新、クライアントツールと自動化環境の更新、利用拡張とインデックスの点検
PostgreSQL 14のEOL	2026年11月12日

PostgreSQLがサポート対象の全安定系列を更新

今回の安定版更新は、サポートされているPostgreSQL 14～18の全系列が対象です。各系列で修正を取り込んだバージョンは次の通りです。

メジャー系列	更新先	主な影響対象となる修正前バージョン
PostgreSQL 18	18.6	18.4以前。18.5は未公開
PostgreSQL 17	17.11	17.10以前
PostgreSQL 16	16.15	16.14以前
PostgreSQL 15	15.19	15.18以前
PostgreSQL 14	14.24	14.23以前

PostgreSQLの個別CVEページでは18系の修正版を18.5と記載していますが、18.5は公開直前に回帰不具合が見つかり、配布されませんでした。PGDGのリリース告知とリリースノートに基づき、18系では18.6を適用対象とする必要があります。

修正された28件の脆弱性

28件のうち14件はCVSS 8.8です。影響は任意コード実行、メモリ破壊、SQLインジェクション、アクセス制御の不備、情報の読み取り、暗号化処理の不備などに分かれます。

CVE	CVSS	影響するメジャー系列	概要
CVE-2026-6464	8.1	14～18	`psql`で`COPY FROM STDIN`が早期失敗した後の入力をコマンドとして処理する問題
CVE-2026-6469	3.8	14～18	`ALTER TABLE ALTER TYPE`により拡張統計の所有者が変更される問題
CVE-2026-6470	4.3	14～18	データ型に対する`USAGE`権限の確認不備
CVE-2026-6471	7.2	14～18	論理デコードの出力プラグインを通じて任意のライブラリを読み込める問題
CVE-2026-14662	8.8	14～18	`tsvector`と`tsquery`の整数ラップアラウンドによるメモリ割り当て不備
CVE-2026-14663	6.5	14～18	`pgcrypto`がOpenSSLで無効な暗号方式を適切に検出せず、実質的に平文のまま処理する問題
CVE-2026-14664	8.8	14～18	正規表現処理のヒープバッファオーバーフローによる任意コード実行の恐れ
CVE-2026-14666	4.2	14～18	ロール変更後も古いキャッシュが使われ、行レベルセキュリティの判定に影響する問題
CVE-2026-14668	8.1	14～18	`ctid`の型混同によるメモリ情報の読み取りやサービス停止の恐れ
CVE-2026-14669	8.8	14～18	`to_char`のヒープバッファオーバーフローによる任意コード実行の恐れ
CVE-2026-14670	8.8	14～18	`plperl`のヒープバッファオーバーフローによる任意コード実行の恐れ
CVE-2026-14671	8.8	14～18	`refint`のプランキャッシュにおける型混同による任意コード実行の恐れ
CVE-2026-14672	5.3	16～18	SCRAM認証の応答差からユーザーの存在を推測できる問題
CVE-2026-14673	3.8	14～16、18	`amcheck`が信頼できない`search_path`を消去しない問題。17系は対象外
CVE-2026-14676	8.8	18のみ	`pg_stat_statements`のヒープバッファオーバーフローによる任意コード実行の恐れ
CVE-2026-14677	8.8	14～18	32ビット環境の`pltcl`と`plperl`におけるメモリ割り当て不備
CVE-2026-14678	4.3	14～18	`pg_trgm`がバッファ終端を越えて読み取る問題
CVE-2026-14679	8.2	14～18	引数照合処理のスタックバッファオーバーフローによるメモリ破壊
CVE-2026-14680	8.8	14～18	`internal`型の引数を悪用した型混同による任意コード実行の恐れ
CVE-2026-14681	4.2	17～18	SSLと組み合わせた場合のGSSAPI暗号化ポリシーの適用不備
CVE-2026-15741	8.8	14～18	式の逆解析処理における`EXTRACT`引数を介したSQLインジェクション
CVE-2026-15742	8.8	14～18	`fuzzystrmatch`の整数ラップアラウンドによる任意アドレスへの書き込みの恐れ
CVE-2026-16238	8.8	18のみ	`pg_restore_attribute_stats()`の型混同による任意コード実行の恐れ
CVE-2026-16239	8.8	14～18	カーソルの`CLOSE`と`DECLARE`を組み合わせた型混同による任意コード実行の恐れ
CVE-2026-16241	3.8	14～18	ECPGの整数アンダーフローによるクライアント停止の恐れ
CVE-2026-18024	4.3	14～18	`ascii()`関数がバッファ終端を越えて情報を読み取る問題
CVE-2026-18408	8.8	14～18	ダンプの復元時に`psql`クライアント側で任意コードが実行される恐れ
CVE-2026-19385	8.8	14～18	`pg_dump`のヒープバッファオーバーフローによる任意コード実行の恐れ

サーバーだけでなく管理端末とバックアップ環境も更新対象

CVE-2026-18408とCVE-2026-19385は、データベースサーバーだけを更新すれば対応が完了する問題ではありません。psqlやpg_dumpを実行するDBA端末、踏み台サーバー、バックアップサーバー、CI/CDランナー、コンテナイメージなどに古いクライアントツールが残っていないか確認が必要です。

CVE-2026-18408は、2025年に公表されたCVE-2025-8714への対策として導入された仕組みに残っていた不備です。悪意のある、または侵害されたダンプ元サーバーから生成したデータを復元する場面で、復元を実行するOSアカウントの権限が影響を受ける恐れがあります。過去の修正内容は、セキュリティ対策LabのPostgreSQL、危険度の高い脆弱性2件や55の不具合修正でも整理しています。

バックアップファイルを「内部で生成したものだから安全」と一律に扱うのではなく、取得元サーバーの信頼性、保管中の改ざん防止、復元を実行するアカウント権限、復元前の検証環境を含めた管理が求められます。

pgcrypto利用環境は既存データの確認が必要

CVE-2026-14663は、pgcryptoがOpenSSLで無効化された暗号方式を適切に検出できず、暗号化したつもりのデータが容易に平文へ戻せる状態になる問題です。OpenSSLのバージョンや設定、FIPSモード、指定した暗号方式によって影響の有無が変わります。

修正版の適用だけでは、過去に不適切な状態で保存されたデータは自動的に修復されません。pgcryptoを利用している組織は、使用してきた暗号方式とOpenSSL設定を確認し、影響するデータの特定、適切な暗号方式での再暗号化、必要に応じたインシデント評価を行う必要があります。

論理レプリケーションは出力プラグインの許可設定を確認

CVE-2026-6471の修正では、論理デコードで利用できる出力プラグインを制限する新しいサーバーパラメータが導入されました。標準以外の出力プラグインを利用する環境では、アップデート後に必要なプラグインが許可されているか確認が必要です。

設定を追加する場合は、利用実態のないライブラリを広く許可せず、レプリケーションスロットとプラグインの棚卸しを行ったうえで対象を限定することが重要です。

110件超の不具合を修正、更新後に追加作業が必要な場合も

今回のリリースでは110件を超える不具合も修正されました。PGDGは、GINインデックスの並列構築、btree_gist、ltreeに関連する3項目について、更新後の確認や修復が必要になる場合があるとしています。

対象	修正前に生じる可能性がある問題	更新後の確認・対応
並列構築したGINインデックスを持つテーブル	統計値が`Infinity`や`NaN`などの不正値となり、autovacuumやautoanalyzeが動作しない可能性	対象テーブルの統計値を確認し、不正な場合は`ANALYZE`などで修復
`btree_gist`	浮動小数点の`NaN`処理や`bit`型の並び順が不正となり、誤った検索結果につながる可能性	該当する列とインデックスを特定し、必要に応じて再インデックス
`ltree`	約14,653を超えるラベルを持つ値で比較結果が誤り、B-treeインデックスが破損したように見える可能性	条件に該当するインデックスを確認し、必要に応じて再インデックス

PostgreSQL 14、15、16では、古いマイナーバージョンのプライマリーが生成したWALをスタンバイで再生する際、自己デッドロックによってスタンバイが停止する回帰不具合も修正されました。プライマリーとスタンバイを段階的に更新する構成では、更新順序と監視項目を事前に確認する必要があります。

そのほか、RANGEパーティションでDEFAULTパーティションが誤って除外され、検索結果から行が欠落する問題や、プランナーが誤った検索結果を返す複数の不具合なども修正されています。前回2026年5月の更新内容は、PostgreSQLが11件の脆弱性を修正、CVE-2026-6637などに注意で確認できます。

マイナーアップデートでは通常、ダンプ・リストアは不要

PostgreSQLのマイナーリリースは累積更新です。PGDGによると、同じメジャー系列内での更新では通常、データベースを停止してバイナリを更新し、再起動することで適用でき、ダンプ・リストアやpg_upgradeは必要ありません。

ただし、過去のマイナーリリースを飛ばして更新する場合は、途中のリリースで案内された追加作業が必要になることがあります。利用中の拡張、レプリケーション構成、管理ツールとの互換性を確認し、バックアップとロールバック手順を用意したうえで適用する必要があります。マネージドデータベースでは、各クラウド事業者の提供状況とメンテナンス手順も確認してください。

PostgreSQL 19 Beta 3は本番利用を推奨せず

同時に公開されたPostgreSQL 19 Beta 3では、Beta 2以降に見つかった論理レプリケーション、外部テーブル、外部キー、時制テーブル構文などの問題が修正されています。一方、PGDGはBeta 3を本番環境で使用しないよう案内しています。

以前のベータ版からBeta 3へ移行する場合は、メジャーバージョンアップと同様の手順が必要です。検証環境で利用し、正式版への移行を前提としたデータを置かない運用が適切です。

PostgreSQL 14は2026年11月12日にEOL

PostgreSQL 14は2026年11月12日に最終リリースを迎え、それ以降はセキュリティ修正や不具合修正が提供されません。今回14.24へ更新しても、長期的な対応が完了するわけではありません。

本番環境で14系を利用している場合は、15以降への移行先選定、拡張機能とドライバーの互換性確認、性能試験、切り戻し手順、保守停止時間の調整を進める必要があります。

悪用確認、PoC、KEV、IOCの状況

2026年8月17日時点で、PGDGのリリース告知と個別アドバイザリには、今回の28件が実際の攻撃で悪用されたとの記載はありません。CISAのKnown Exploited Vulnerabilities Catalogにも掲載は確認できませんでした。

CVE-2026-14669について、公式リリースノートは任意コード実行につながる悪用手法が報告されたと説明しています。ただし、これは攻撃被害の確認や公開PoCの存在を示すものではありません。公開PoCとIOCについても、PGDGの公式資料では確認できませんでした。今後、状況が更新される可能性があるため、PGDGのSecurity InformationとCISA KEVを継続して確認する必要があります。

情報システム部門への示唆

今回の更新は、データベースサーバーのバージョン確認だけでは対応漏れが生じます。情報システム部門、DBA、SREは次の順で対応を進めることが重要です。

PostgreSQL 14～18の稼働資産を洗い出し、18.6、17.11、16.15、15.19、14.24への更新計画を作成します。
psql、pg_dump、pg_dumpall、pg_restoreを含む管理端末、踏み台、バックアップジョブ、CI/CD、コンテナイメージも棚卸しします。
pgcrypto、pg_stat_statements、plperl、pltcl、refint、fuzzystrmatchなど、影響する拡張や機能の利用有無を確認します。
論理レプリケーションを利用する環境では、出力プラグインと新しい許可設定の整合性を検証します。
GIN、btree_gist、ltreeの利用環境では、更新後の統計値確認や再インデックスを変更計画に含めます。
PostgreSQL 14は今回の修正適用と上位メジャーへの移行を別の作業として管理し、EOL前に完了させます。
実攻撃の公表がないことを先送りの理由にせず、インターネット公開の有無、データベース権限、バックアップ運用、利用機能を踏まえて優先度を決定します。