DB管理ツール「pgAdmin 4」に複数の脆弱性、セキュリティアップデート9.19で15件を修正

「PostgreSQL」向けデータベース管理ツール「pgAdmin 4」に複数の脆弱性が判明し、開発チームは2026年10月29日にセキュリティアップデート「pgAdmin 4 9.19」をリリースした。修正版の提供を受け、利用者にはアップデートが呼びかけられている。

事案の詳細

今回のアップデート「pgAdmin 4 9.19」は、136件のバグ修正と新機能への対応を含み、そのうちCVE-2026-116238からCVE-2026-116252までの15件が脆弱性の修正となっている。クリティカルと評価された2件は、ログイン試行回数の制限を回避できる「CVE-2026-116238」（CVSS v4.0：9.2）と、後述の「CVE-2026-116241」（同9.4）。

修正対象のひとつが「CVE-2026-116241」で、データのインポート／エクスポート機能におけるOSコマンドインジェクションの脆弱性だ。クエリを用いたエクスポート処理で、二重引用符で囲まれた識別子内のバックスラッシュを悪用すると、検査をすり抜けて「TO PROGRAM」句を実行できる可能性があった。これは、以前に修正された「CVE-2026-17566」への対策が不十分だったことに起因する。

pgAdmin側の入力検査と、コマンドラインツール「psql」による構文解釈の違いによって、エクスポート処理に含まれるクエリの検査を回避できた。悪用された場合、pgAdminが動作するホスト上で、pgAdminを実行するOSアカウントの権限で任意のコマンドを実行される可能性がある。悪用にはpgAdminへのログインが必要だが、インポート／エクスポートの権限は初期設定で一般ユーザーにも付与されている。脆弱性は「pgAdmin 4 9.19」より前のバージョンに影響する。

影響と背景

pgAdmin 4は「PostgreSQL」向けのデータベース管理ツールであり、脆弱性の内容によっては管理機能やデータ入出力を扱う環境への影響が懸念される。今回の「pgAdmin 4 9.19」には、15件の脆弱性修正を含む136件のバグ修正と新機能への対応が含まれることから、運用環境における更新判断が重要になる。

対策・今後の展望

• 「pgAdmin 4 9.19」へのアップデート：開発チームが公開した修正版を適用し、脆弱性の影響を受ける旧バージョンの利用を避ける。
• 権限の扱いの再確認：「CVE-2026-116241」では、インポート／エクスポート機能の利用が関係するため、利用者のアカウントや権限の付与状況を点検する。

CSRIからのアドバイス

脆弱性は、管理機能やデータの入出力など日常的に使う機能で見つかることがある。特に、入力内容の検証の不備や、外部ツールの解釈の違いが重なると、想定外の命令が通ってしまう形で悪用につながりやすい。

例えるなら、決まった形式で書いた申請書だけ受け付けるはずが、書き方の違いを別の担当者が別ルールで読み替えてしまい、禁止された指示が紛れ込むようなものだ。つまり、操作画面からの入力が、裏側では別の命令として解釈されると危険になる。

まず社内で利用している「pgAdmin 4」のバージョンを確認し、更新対象なら「pgAdmin 4 9.19」へのアップデート計画を担当者に共有する。次に、インポート／エクスポート機能を使える利用者を必要最小限に絞れているか見直し、認証情報やpgAdminを実行するホストのアクセス制御もあわせて点検する。

参照: DB管理ツール「pgAdmin 4」に複数脆弱性 – 2件は「クリティカル」