PostgreSQL の11月の更新で52件の脆弱性を修正：14〜18 のどの版も更新の対象。最新の小さな版を当てる日を決める
PostgreSQL の開発チームは2026年11月12日、サポート中のすべての版に更新を出しました。直した脆弱性は52件で、テーブルなどを作れるデータベースの利用者が、データベースを動かしているサーバーの上でプログラムを動かせてしまうものも含まれます。業務システムのデータベースが PostgreSQL なら、版が 14 でも 18 でも対象です。今日のうちに、更新を当てる日を保守会社と決めてください。
この記事でわかること
- PostgreSQL の11月の更新で直ったことと、対象の版
- 自社の業務システムが対象かの見分け方と、急ぐべき場合
- 今日やることと、更新のあとの作業について保守会社に聞くこと
こんな方に
- 社内のパソコンやサーバーの管理を、総務や経理と兼任で任されている方
先に結論
業務システムのデータベースが PostgreSQL かを保守会社に聞き、そうなら 18.7・17.12・16.16・15.20・14.25 のどれかに上げる日を決めます。小さな版の更新なので、データの入れ直しは要りません。ただし、更新のあとに索引の作り直しなどが要る場合があるので、作業の範囲も一緒に確かめます。
2026年11月13日時点の情報です。料金や制度は変わることがあるため、本文の公式の資料へのリンクで最新の内容を確かめてください。
PostgreSQL の開発チームは2026年11月12日、サポート中のすべての版に更新を出しました。直した脆弱性は52件、不具合は140件を超えます。PostgreSQL は、業務システムの顧客・受注・在庫などのデータを入れておくデータベースとして、広く使われているソフトです。業務システムのデータベースが PostgreSQL なら、版にかかわらず対象なので、今日のうちに更新の日を決めます。
何が変わったか
| 項目 | 内容 |
|---|---|
| 公開日 | 2026年11月12日（PostgreSQL の公式の発表） |
| 出た版 | 18.7、17.12、16.16、15.20、14.25 |
| 直したもの | 脆弱性52件、不具合140件以上 |
| 起きること（例） | CVE-2026-6460（CVSS 8.8）：オブジェクトを作れるデータベースの利用者が、データベースを動かしている OS の利用者として、任意のプログラムを動かせる。14〜18 のすべてが対象 |
| 更新のしかた | 小さな版の更新なので、データの入れ直しや pg_upgrade は要らない。PostgreSQL を止めて、プログラムを入れ替える |
| 更新のあとの作業 | 使い方によって、索引の作り直し（REINDEX）や、増分バックアップを使っている場合の全体のバックアップの取り直しなどが要る、と公式の発表にある |
| PostgreSQL 14 | 14.25 が最後の版。これより後は修正が出ない |
| 公的機関の呼びかけ | 11月13日の時点で、PostgreSQL 本体について、IPA と JPCERT/CC の注意喚起は出ていない |
| 次の予定 | PostgreSQL 19 の正式な公開が11月19日の予定（遅れる場合がある） |
発表の中身は、PostgreSQL の「PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25, and 19 RC 2 Released!」で確かめました。脆弱性ごとの対象の版は、各 CVE のページに書かれています。この記事では、CVE-2026-6460 のページで 14〜18 のすべてが対象だと確かめました。52件すべてが、すべての版に当てはまるとは限りません。
CVE-2026-6460 の攻撃に必要な条件は「低い権限」で、データベースにログインでき、テーブルなどを作れる利用者が行うものです。インターネットから誰でも攻撃できる種類ではありません。ただ、業務システムが使うデータベースのアカウントは、テーブルを作ったり変えたりできる権限を持っていることが多いと考えられます。業務システムに別の弱いところがあると、そこから使われるおそれがあります。
自社が関係するかの見分け方
| 当てはまるか | 何が起きているか | やること |
|---|---|---|
| 業務システムのデータベースが PostgreSQL で、自社か保守会社がサーバーを管理している | 今回の修正の対象 | 18.7・17.12・16.16・15.20・14.25 のどれかに上げる日を決める |
| そのデータベースに、インターネットから直接つながる | 利用者のアカウントが漏れると、すぐに悪用されるおそれ | 更新を急ぐ。直接つながる設定をやめられないかも聞く |
| 社外の人や複数の部署に、データベースのアカウントを配っている | アカウントを持つ人が多いほど、悪用の入口が増える | 更新を急ぐ。使っていないアカウントを消す |
| クラウドのデータベースのサービス（データベースだけを借りる形）を使っている | 提供会社が更新を当てる場合と、利用者が操作する場合がある | 提供会社のお知らせで、当て方と時期を確かめる |
| PostgreSQL 14 を使っている | 14.25 が最後の版 | 14.25 を当て、15 以降へ移る予定も決める |
| PostgreSQL 13 以前を使っている | 今回の修正は出ていない | 移る版と時期を急いで決める |
| 何を使っているか分からない | 判断ができない | 保守会社か、作った会社に聞く |
PostgreSQL 14 の期限と、移る版の選び方は、昨日の「PostgreSQL 14 のサポートが今日で終わる」で書きました。
今日やること
- データベースと版を聞く：業務システムごとに、データベースが PostgreSQL か、版はいくつかを、保守会社か担当者に聞く
- 更新を当てる日を決める：PostgreSQL なら、今回の版に上げる日を決める。止まるのは入れ替えと再起動の間（更新のあとの作業が要ればその分も）なので、業務の少ない時間に入れる
- 外から直接つながらないか、アカウントを誰が持っているかを確かめる：当てはまるなら、更新を前倒しにする
- 14 以前なら、移る予定も決める：14.25 を当てたうえで、移る先の版と時期を相談する
- 版を一覧に書く：更新したら、版と日付を部品の一覧に残す
開発会社や保守会社に確かめたいセキュリティの項目は「開発会社に確認したいセキュリティの項目」でまとめました。
保守会社に聞くこと
- 業務システムのデータベースの版と、今回の更新をいつ当てるか
- 公式の発表にある更新のあとの作業（索引の作り直し、バックアップの取り直しなど）が、自社のデータベースで要るか
- 更新が月々の保守の範囲か、別の見積もりか
答えと、当てる日は書面で残しておきます。
そのほかの動き
- PostgreSQL 19 の公開の予定：公式は、19 の正式な公開を11月19日の予定としています（遅れる場合があります）。新しく作るシステムで使うかは、公開と、使う部品の対応を確かめてから決めます。
- インシデント調査報告書のチェックリスト：JPCERT/CC は11月11日、調査を頼む被害組織と報告書を作る担当者が、共通の認識を持つためのチェックリストを公開しました（JPCERT/CC）。不正アクセスの調査を外に頼むときに使えます。
- OpenSSH の認証回避の脆弱性：条件がそろうと、パスワードなしでログインされるおそれがあります（JPCERT/CC）。条件と確かめ方は「Apache HTTP Server 2.4.71 が公開」の「そのほかの動き」で書きました。
- PHP 8.2 のサポート終了まで約7週間：PHP 8.2 のセキュリティの修正は2026年12月31日に終わります。進め方は「PHP 8.2 のサポート終了までにやること」で書きました。
クリーヴァに相談するとき
業務システムのデータベースの版が分からない、更新を当てる人がいない、といった場合は、使っている部品と版の一覧を作るところからお手伝いします。
出典（2026年11月13日に確認）
- PostgreSQL「PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25, and 19 RC 2 Released!」（2026年11月12日）
- PostgreSQL「CVE-2026-6460」（2026年11月12日）
- PostgreSQL「Versioning Policy」
- JPCERT/CC「インシデント調査報告書チェックリスト公開のお知らせ」（2026年11月11日）
- JPCERT/CC「OpenSSHにおける認証回避の脆弱性（CVE-2026-123158）について」（2026年11月9日最終更新）
よくある質問
外からつながらないデータベースでも、更新は必要ですか？
必要です。今回の脆弱性の一つ（CVE-2026-6460）は、テーブルなどを作れるデータベースの利用者が悪用するものです。外から直接つながらなくても、業務システムを通した攻撃や、利用者のアカウントの乗っ取りから使われるおそれがあります。急ぐ度合いは下がりますが、更新は当てます。
更新すると、業務システムを止める必要がありますか？
公式は、小さな版の更新はデータの入れ直しや pg_upgrade が要らず、PostgreSQL を止めてプログラムを入れ替えるだけで済むと説明しています。止まるのは入れ替えと再起動の間ですが、更新のあとの作業が要る場合は、その分の時間もかかります。要るかどうかは、保守会社に確かめます。
PostgreSQL 14 は、これで終わりですか？
はい。公式は、14.25 が PostgreSQL 14 の最後の版だと発表しました。これからは 14 に修正が出ないので、14.25 を当てたうえで、15 以降へ移る予定を決めます。
毎週月曜の朝に、メールで受け取る
- 無料
- 毎週月曜の朝
- 急ぎのものはその日のうちに
- いつでも解除できます
- 今週の変化何が変わったか・関係する会社・やることを1行ずつ
- これからの期限60日以内のサポート終了や補助金の締切を日付で
- 今週の教科書新しい記事やツールを1つ
登録すると確認メールが届きます。メールのリンクを押すと登録が終わります。
フォームを読み込めませんでした。時間をおいて、もう一度このページを開いてください。
