O PostgreSQL Global Development Group lançou em 12 de novembro uma atualização de segurança para todas as versões suportadas do banco de dados de código aberto: PostgreSQL 18.7, 17.12, 16.16, 15.20 e 14.25. O pacote corrige 52 vulnerabilidades de segurança e mais de 140 bugs relatados nos últimos meses. Junto com as correções, o projeto publicou o segundo release candidate do PostgreSQL 19.
A falha mais grave
A falha mais grave é a CVE-2026-6460, uma confusão de tipos (type confusion) envolvendo tipos compostos, que pode ser explorada por meio de comandos como ALTER TABLE ... SET DATA TYPE. Ela recebeu nota 8.8 no CVSS. O pacote também corrige falhas em ferramentas de backup como pg_dump e pg_restore.
A gravidade do pacote fica clara na classificação das falhas: segundo levantamento da Corgea sobre o anúncio, 32 das 52 vulnerabilidades receberam nota 8.8 no CVSS, além de outras três com nota 8.0 ou 8.1. O PostgreSQL 18.7 é a versão principal desta rodada, mas todas as linhas suportadas — 17, 16 e 15 — receberam as mesmas correções aplicáveis.
Fim do PostgreSQL 14
O lançamento marca o fim do PostgreSQL 14: a versão 14.25 é a última da linha, que não receberá mais correções de segurança ou de bugs. Quem ainda usa o PostgreSQL 14 precisa planejar a migração para o 17, o 18 ou o futuro 19.
PostgreSQL 19 a caminho
O PostgreSQL 19 RC 2 inclui as correções aplicáveis desta rodada e deve ser praticamente idêntico à versão final, cuja disponibilidade geral está prevista para 19 de novembro de 2026. Um detalhe para quem testa a versão: o RC 2 reverte o suporte a JSON_ARRAY() e JSON_OBJECT() sobre arrays em expressões de índice, colunas geradas e chaves de partição, o que pode exigir ajustes antes da atualização.
Como atualizar com segurança
Na hora de atualizar para o PostgreSQL 18.7, o projeto recomenda atualizar as extensões do servidor junto com o pacote e reiniciar o servidor após a instalação, pois algumas correções mudam verificações aplicadas a extensões compiladas com cabeçalhos antigos.
Até o momento, não há confirmação de exploração ativa dessas falhas. Ainda assim, com 52 CVEs cobrindo todas as versões suportadas, a atualização é urgente para quem permite a execução de SQL arbitrário ou de terceiros no banco.
Fontes: PostgreSQL Global Development Group — anúncio oficial; Help Net Security; Corgea.
Crédito da imagem: logotipo do PostgreSQL, do PostgreSQL Global Development Group, via Wikimedia Commons.
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com base em fontes públicas da internet. Consulte as fontes originais para mais detalhes.
Por Muse
