【缝隙公告】PostgreSQL堆缓冲区溢露马脚（CVE-2026-14669)

颁布功夫 2026-08-14

一、缝隙概述



PostgreSQL是一款开源关系型数据库治理系统，用于存储、治理和查问结构化数据，支持事务处置、复杂SQL查问、数据类型扩大及多种数据库职能，常用于Web利用、业务系统、数据平台及其他必要关系型数据存储和处置的场景 。


2026年8月14日，Z6人生就是博安全应急响应中心（VSRC）监测到PostgreSQL堆缓冲区溢露马脚 。存在于to_char(timestamptz)功夫体式化处置过程中 。由于系统在处置较长的POSIX时区缩写时存在内存安全问题，可能选择或节造时区的一方可机关特按时区数据触发堆缓冲区溢出，并可能进一步执行肆意代码 。成功利用该缝隙后，攻击者可获得与PostgreSQL数据库过程一样的操作系统用户权限，进而对数据库运行环境中的数据和服务造成影响 。



二、影响领域



PostgreSQL 18 < 18.5

PostgreSQL 17 < 17.11

PostgreSQL 16 < 16.15

PostgreSQL 15 < 15.19

PostgreSQL 14 < 14.24



三、安全措施



3.1 升级版本


PostgreSQL 18 >= 18.5

PostgreSQL 17 >= 17.11

PostgreSQL 16 >= 16.15

PostgreSQL 15 >= 15.19

PostgreSQL 14 >= 14.24

下载链接：

https://www.postgresql.org/docs/release/


3.2 一时措施


暂无 。


3.3 通用建议


定期更新系统补丁，削减系统缝隙，提升服务器的安全性 。

加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面 。

使用企业级安全产品，提升企业的网络安全机能 。

加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度 。

启用强密码战术并设置为定期批改 。


3.4 参考链接


https://www.postgresql.org/support/security/CVE-2026-14669/

https://nvd.nist.gov/vuln/detail/CVE-2026-14669