PostgreSQL Global Development Group, 12 Kasım 2026’da desteklenen tüm PostgreSQL sürümleri için güncelleme yayımladı. Güncelleme 52 güvenlik açığını ve 140’tan fazla hatayı kapatıyor. PostgreSQL’in güvenlik sayfasındaki CVSS puanlarına göre açıkların 38’i Yüksek (7.0–8.9), 12’si Orta, 2’si Düşük önemde. En yüksek puan 8.8. Aynı sürümle PostgreSQL 14’ün desteği sona erdi.
Ne oldu
Yayımlanan sürümler 18.7, 17.12, 16.16, 15.20 ve 14.25. CVSS puanı 8.8 olan 32 açığın çoğu, PostgreSQL’in tanımına göre sunucuda ya da istemcide kod çalıştırmaya yol açabiliyor. Bu açıkların büyük kısmı için saldırganın veritabanında bir kullanıcı hesabı olması gerekiyor.
Hesap gerektirmeyen ama kullanıcının bir işlem yapmasını gerektiren üç açık da 8.8 puanlı:
- CVE-2026-120145: Mantıksal çoğaltmada (logical replication) abone sunucunun sistem kataloglarına yazılabilmesi.
- CVE-2026-116330: pg_dump’ın tar biçimli yedeğindeki restore.sql dosyasıyla psql’de komut enjeksiyonu.
- CVE-2026-116314: pg_restore’un düz olmayan arşivleri doğrulamaması nedeniyle kod çalıştırma.
Güncelleme güvenlik dışında veri bozulmasına yol açabilen hataları da düzeltiyor. Bunlar arasında GIN ve pg_trgm GiST dizinlerinde bozulma ile bozuk yedek üretebilen artımlı yedek hataları var. Kaynakta açıkların sahada istismar edildiğine dair bir bilgi yok. Açıkları bulan araştırmacılar da kaynakta belirtilmemiş.
Kimleri etkiler
PostgreSQL 18, 17, 16, 15 ve 14 kullanan tüm kurulumlar etkileniyor. Açıkların bir kısmı yalnız 18 ya da 18 ve 17 sürümlerinde. Risk en çok, veritabanında birden fazla kullanıcının hesap açabildiği ortamlarda ve dışarıdan gelen yedek dosyalarının pg_restore ile geri yüklendiği iş akışlarında yüksek.
PostgreSQL 14 kullananlar için ayrı bir durum var: 14.25 bu sürümün son güncellemesi. Bundan sonra PostgreSQL 14 güvenlik ve hata düzeltmesi almayacak.
Üretici ne öneriyor
PostgreSQL ekibi, kullanılan ana sürümün en son küçük sürümüne geçilmesini öneriyor. Güncellemeler birikimli. Veritabanını dışa aktarıp yeniden yüklemek gerekmiyor; PostgreSQL’i durdurup programı güncellemek yetiyor.
Güncellemeden sonra bazı kurulumlarda ek adım gerekiyor:
- GIN dizininde bozulma şüphesi varsa bu dizin yeniden oluşturulmalı (REINDEX).
- pg_trgm kullananlar gist_trgm_ops kullanan GiST dizinlerini yeniden oluşturmalı.
- Tabloyu okurken “missing chunk number” hatası görülüyorsa tablo REINDEX TABLE ile yeniden dizinlenmeli.
- Artımlı yedek alanlar güncellemeden sonra yeni bir tam yedek almalı ve sonraki artımlı yedekleri bu tam yedeğe dayandırmalı.
- Uzunluk belirtilmeden bpchar olarak tanımlanmış sütunlardaki B-tree dizinleri yeniden oluşturulmalı.
- Bölümlenmiş tablolarda NOT NULL NO INHERIT kısıtları sorgu ile bulunmalı; istenmeyenler kaldırılmalı, tutulacaklar INHERIT olarak düzeltilmeli.
PostgreSQL 14 kullananlara, desteklenen daha yeni bir sürüme geçişi planlamaları öneriliyor. Bir veya daha fazla güncellemeyi atlayanların, önceki sürüm notlarındaki ek adımlara da bakması gerekiyor. Veritabanı sunucularınızın güncellenmesi ve yedeklerinizin geri dönülebilir olduğunun sınanması için bize ulaşabilirsiniz.
