PostgreSQLに複数の脆弱性（JPCERT/CC Weekly Report）

JPCERT/CCは、2026年8月19日公開のWeekly Reportで、PostgreSQLに複数の脆弱性があると公表した。対象はオープンソースのデータベース製品で、修正版への更新によって解決できるとして注意を呼びかけている。

脆弱性の詳細

JPCERT/CCが参照しているPostgreSQL公式のセキュリティ情報では、複数の脆弱性が同時に修正されており、少なくともSQLインジェクション、認可不備、型混同、整数アンダーフロー、メッセージ完全性の不備などが含まれている。確認できた範囲では、CVE-2026-15741はEXTRACT()のdeparse処理におけるSQLインジェクションで、オブジェクト所有者が細工したオブジェクト定義を使ってスーパーユーザー権限で任意SQLを実行できる問題である。CVE-2026-6471はlogical decodingにおける認可不備で、REPLICATION権限を持つ非スーパーユーザーがOSアカウント上で任意コード実行に至る可能性がある。CVE-2026-16239はportal/cursorのライフサイクルにおける型混同で、カーソル等を再作成することで任意コード実行につながる。CVE-2026-14680はinternal型引数に関する型混同で、データベースを実行するOSユーザー権限で任意コード実行が可能となる。CVE-2026-16241はECPGの整数アンダーフローで、一時的なサービス妨害を引き起こす。CVE-2026-14681はGSSAPIサポートにおけるメッセージ完全性の不備で、pg_hba.confの制限に反してGSSAPI交渉を行える問題である。

これらは2026年8月13日に公開されたPostgreSQL 18.6、17.11、16.15、15.19、14.24、および19 Beta 3で修正されている。確認できた情報では、影響を受けるのはこれらの修正版より前のバージョンである。

影響を受ける製品・バージョン

• PostgreSQL 18.5より前の版
• PostgreSQL 17.11より前の版
• PostgreSQL 16.15より前の版
• PostgreSQL 15.19より前の版
• PostgreSQL 14.24より前の版
• 一部の脆弱性は、19 Beta 3より前の開発版にも影響する

推奨される対策

• JPCERT/CCは、PostgreSQLを提供元が公開する修正版へ更新するよう案内している。
• 運用中の環境では、OS同梱版、ベンダー提供版、コンテナ版のいずれかを確認し、適用すべき更新パッケージを整理する。
• 保守契約や運用委託がある場合は、ベンダーまたはSIerに更新手順、停止影響、互換性への影響を確認する。
• 業務上すぐに更新できない場合は、該当する脆弱性について公式情報に回避策や緩和策があるかを確認し、適用可能なものを先に実施する。
• 外部から直接到達できる構成を避け、接続元を必要最小限に制限する。

日本の中小企業が今すぐ取るべき行動

• 最優先：社内で稼働しているPostgreSQLの所在とバージョンを棚卸しする。
• 次に：インターネットから到達し得る経路がないかを確認し、必要最小限の接続に制限する。
• 次に：検証→本番適用の順で、提供元の修正版へ更新する計画を作成する。
• 並行して：運用委託先やベンダーに、影響評価と更新作業の実施可否を依頼する。
• 最後に：更新後にアプリケーション接続、バックアップ、レプリケーションなどの関連機能が正常か確認する。

CSRIからの現場アドバイス

実際のペネトレーションテストでは、データベース更新がOS更新と切り離されて放置される例が見られる。外部到達可能な管理系ポートや、検証環境の設定が本番へ流用されている点も、よく問題になる。

まずPostgreSQLのバージョンと設置場所を確認する。次に担当者またはベンダーに、修正版への更新手順と停止影響の見積りを依頼し、検証環境で更新可否を確認する。

参照: Weekly Report: PostgreSQLに複数の脆弱性