PostgreSQL уязвимости устранены в обновлениях 18.7, 17.12, 16.16, 15.20 и 14.25

12 ноября 2026 года PostgreSQL Global Development Group выпустила минорные обновления для веток 18.7, 17.12, 16.16, 15.20 и 14.25. Релизы устранили 52 уязвимости и более 140 ошибок, накопившихся за последние месяцы. 32 из 52 CVE получили оценку CVSS 8.8, многие позволяют выполнение произвольного кода пользователем операционной системы, под которым работает сервер.

PostgreSQL уязвимости и технические детали исправлений

Ключевой проблемой стала CVE-2026-6460 в ядре сервера. Уязвимость связана с путаницей типов после выполнения команд ALTER ... SET DATA TYPE, ALTER TABLE ... ADD COLUMN и последующего ROLLBACK. Ошибка возникала из-за недостаточного отслеживания типизированных значений в словаре данных и переменных PL/pgSQL. Корни проблемы уходят к коммиту 2004 года и затрагивали все ветки до текущих исправлений.

Дополнительные уязвимости высокой критичности затронули PL/Perl, PL/Tcl, параллельные запросы, функции текстового поиска tsvector_delete и ts_rank_cd, логическую репликацию, модуль dblink, импорт статистики и утилиты pg_dump, pg_restore. В сумме 32 проблемы позволяют аутентифицированному пользователю или владельцу объектов выполнить код на уровне операционной системы.

Обновления требуют остановки сервера, замены бинарных файлов и перезапуска. После установки рекомендуется переиндексировать отдельные индексы GIN, GiST pg_trgm и B-tree на bpchar, а пользователям инкрементного резервного копирования — создать новые полные бэкапы. Расширения могут потребовать пересборки.

Завершение поддержки PostgreSQL 14 и планы на 19 версию

Релиз 14.25 стал последним для ветки 14, которая достигла конца жизненного цикла. Дальнейшие исправления безопасности и ошибок для этой версии не планируются. Администраторам рекомендуется запланировать миграцию на поддерживаемые ветки в ближайшие месяцы.

Одновременно вышел PostgreSQL 19 RC 2. Официальный релиз 19 версии ожидается 19 ноября 2026 года. На момент 13 ноября 2026 года публичных эксплойтов для CVE-2026-6460 не зафиксировано, значение EPSS оценивается около 0,6 %.

В России PostgreSQL и его форки, включая Postgres Pro и Platform V Pangolin DB, широко применяются в коммерческих и государственных системах. Организации, подчиняющиеся требованиям ФСТЭК и БДУ, должны учитывать сроки устранения уязвимостей высокой и критической степени согласно действующим приказам. Рекомендуется провести инвентаризацию версий и применить обновления в первую очередь на серверах с непривилегированными ролями входа и правами создания объектов.