Webサービスや業務システムのデータを保存するPostgreSQLで、2026年11月12日にセキュリティ更新が公開されました。公式発表では52件の脆弱性を修正しています。利用者ごとにデータの閲覧範囲を分ける機能に関する問題も含まれるため、自社の利用版、修正の適用状況、更新後に必要な作業を開発・保守担当者へ確認してください。
また、PostgreSQL 14は今回が最終リリースです。修正版の適用と、サポートが続く系列への移行計画を分けて進める必要があります。公式リリース発表
閲覧を制限した行も読まれるおそれ
PostgreSQLには、同じ表の中でも、利用者や所属に応じて扱えるデータの行を制限する「行レベルセキュリティ（RLS）」があります。例えば、複数の取引先のデータを同じ表に保存し、それぞれが自社分だけを扱う設計で利用されます。これは仕組みを説明する例で、今回そのようなサービスの被害が確認されたという意味ではありません。
今回のCVE-2026-120154では、対象の表に追加・更新と必要な参照の権限を持つ攻撃者が、特定の追加・更新処理を繰り返すことで、RLSによる制限を超えて全行を読み取れるおそれがあります。公式説明では、この問題自体は不正な書き込みを可能にするものではありません。脆弱性の公式説明
誰でも未認証でデータを取得できる、という内容ではありません。一方で、データベースへの直接ログインを一般利用者に許していないことだけでも、影響なしとは判断できません。アプリが使う権限と処理、RLSの利用状況を担当者に確認してもらいます。
今回の更新には別の脆弱性も含まれます。RLSを利用していないという理由で、更新全体を見送らないでください。
利用系列ごとに更新先を確認する
| 現在の系列 | 今回の修正版 |
|---|---|
| 18 | 18.7 |
| 17 | 17.12 |
| 16 | 16.16 |
| 15 | 15.20 |
| 14 | 14.25（最終リリース） |
同じ系列内の更新と、14から15以降へ移るような大きなバージョン変更は、準備や作業が異なります。同時に発表された19 RC 2は正式版前のリリース候補であり、本番環境の通常の更新先として読み替えないようにします。
クラウドのデータベースを使う場合は、提供会社の対応版やメンテナンス予定と、自社環境への適用完了を確認します。自社管理のサーバーでは、稼働中の版だけでなく、再配置に使う構成やイメージも確認対象にすると、古い版へ戻る取りこぼしを防ぎやすくなります。
更新後の作業と、14からの移行を忘れない
公式発表には、利用機能に応じた索引の再作成や、増分バックアップの基準となる新しい完全バックアップの取得など、更新後の追加作業が案内されています。更新プログラムを入れたことだけで完了にせず、該当項目を確認することが大切です。詳細な対象条件と手順は、公式発表の「Updating」を担当者が確認してください。
PostgreSQL 14は今後セキュリティ修正を受けられません。14.25への更新だけでは、これから見つかる問題への備えが残ります。保守担当者には次のように依頼すると、作業と計画を分けて確認できます。
- 現在の系列・版と、今回の修正を反映する日を教えてください。
- RLSを利用しているか、アプリの権限と処理に今回の条件が関係するか確認してください。
- 更新後の追加作業の該当有無と、バックアップ・復旧手順を確認してください。
- 14を利用中なら、移行先、動作確認、停止時間を含む移行計画を示してください。
今回参照した公式情報では、個別企業の被害や実際の悪用状況までは確認できません。被害が公表されていないことと、自社の修正が不要なことは別に考えます。
出典
確認日：2026年11月13日。