PostgreSQL 52 güvenlik açığını kapattı; kimliği doğrulanmış kullanıcıya kod çalıştırma açıkları ağırlıkta, PostgreSQL 14 desteği bitti
PostgreSQL 18.7, 17.12, 16.16, 15.20 ve 14.25 sürümleri 52 güvenlik açığı ve 140'tan fazla hatayı düzeltiyor. Açıkların çoğu CVSS 8.8 ve veritabanında oturum açabilen kullanıcıya sunucu üzerinde kod çalıştırma imkânı veriyor; 14.25 son sürüm.
CVE-2026-6460, CVE-2026-18447, CVE-2026-14661
PostgreSQL Global Development Group, desteklenen tüm sürüm hatları için güncelleme yayımladı: 18.7, 17.12, 16.16, 15.20 ve 14.25. Proje bu sürümlerle 52 güvenlik açığını ve son aylarda bildirilen 140'tan fazla hatayı kapattığını açıkladı. Aynı duyuruda PostgreSQL 19'un ikinci release candidate'i de çıktı.
Listenin ağırlığı belli: açıkların otuzdan fazlası CVSS 8.8 puanlı ve büyük kısmı use-after-free, type confusion ya da heap buffer overflow kaynaklı "arbitrary code" sonucuna varıyor. Bunlar internetten kimliksiz istismar değil; saldırganın veritabanına bağlanabilen bir hesabı olması gerekiyor. Yine de çok kiracılı ortamlar, uygulama hesabı ele geçirilmiş sistemler ve paylaşımlı barındırma için bu, veritabanı kullanıcısından sunucu sürecine geçiş anlamına geliyor. Yalnızca CVE-2026-116322 (CVSS 5.3) kimlik doğrulama öncesi bir cancel isteğiyle ilgili. Duyuruda sahada istismar bildirimi yok; açıklar CISA KEV kataloğunda değil.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| PostgreSQL 18 | 18.7 öncesi | 18.7 |
| PostgreSQL 17 | 17.12 öncesi | 17.12 |
| PostgreSQL 16 | 16.16 öncesi | 16.16 |
| PostgreSQL 15 | 15.20 öncesi | 15.20 |
| PostgreSQL 14 | 14.25 öncesi | 14.25 (son sürüm, EOL) |
Her CVE'nin hangi hatları etkilediği üretici bildirimindeki listede ve PostgreSQL güvenlik sayfasında yer alıyor.
Öne çıkan başlıklar: - CVE-2026-6460, CVE-2026-18447 ve çok sayıda benzeri: SQL düzeyinde tetiklenen type confusion ve use-after-free ile kod çalıştırma (8.8). - CVE-2026-116307, CVE-2026-116319, CVE-2026-116320 ve diğer plperl/pltcl açıkları: bu dilleri kuran sunucularda kod çalıştırma (8.8). - CVE-2026-116314, CVE-2026-116318, CVE-2026-116330: pg_restore ve pg_dump araçlarında güvenilmeyen yedek ya da nesne adı üzerinden kod veya komut çalıştırma (8.8). - CVE-2026-120145: logical replication ile subscriber tarafındaki sistem kataloglarına yazma (8.8). - CVE-2026-14661: dblink ve subscription üzerinden rastgele dosyaya ekleme (8.1).
Beni etkiliyor mu?
Sunucudaki paket ve servis sürümünü kontrol edin:
rpm -qa | grep -i postgres
dpkg -l | grep -i postgres
systemctl status postgresqlVeritabanı içinden de SELECT version(); sorgusuyla sunucu sürümünü, pg_language ve pg_extension kataloglarıyla kurulu dilleri ve eklentileri görebilirsiniz (pgAdmin › Sunucu › Özellikler yolu da sürümü gösterir).
Sürüm yukarıdaki düzeltilmiş sürümlerin altındaysa etkileniyorsunuz. plperl, pltcl ya da dblink listede çıkıyorsa ilgili açıklar da sizin için geçerli. Yönetilen servis (bulut veritabanı) kullananlar sağlayıcının bakım takvimini kontrol etmeli.
Ne yapılmalı?
- Sunucuyu kendi hattınızdaki düzeltilmiş minor sürüme yükseltin; minor yükseltme dump/restore gerektirmez, ancak servis yeniden başlatması gerekir ve change management penceresine alınmalıdır.
- Duyurudaki "Updating" bölümünü okuyun: GIN, pg_trgm GiST ve bpchar sütunlarındaki B-tree index'ler için yükseltme sonrası reindex, incremental backup kullananlar için yeni tam yedek öneriliyor.
- pg_dump, pg_restore, reindexdb ve vacuumdb istemci araçlarını da güncelleyin; güvenilmeyen kaynaktan gelen yedekleri yamasız araçlarla geri yüklemeyin.
- Workaround olarak gereksiz hesapların bağlantı yetkisini ve kullanılmayan dil/eklentileri (plperl, pltcl, dblink) gözden geçirin; uygulama hesaplarına en az yetki ilkesini uygulayın.
- PostgreSQL 14 kullanıyorsanız 14.25'i kurun ve desteklenen bir major sürüme geçişi planlayın; bundan sonra bu hatta güvenlik düzeltmesi gelmeyecek.
