导读：2026 年5 月14 日，PostgreSQL Global Development Group 发布了针对受支持主线(14-18) 的最新版本与安全更新：18.4、17.10、16.14、15.18、14.23。

最新的 PostgreSQL 安全补丁针对 14 到 18 版本发布，它修复了 11 个真正的漏洞，而不仅仅是版本号的提升。

据总结，此次更新解决了内存损坏漏洞、复制工具中的 SQL 注入漏洞，以及一个可能泄露 MD5 密码的隐蔽计时漏洞。运维人员应该在攻击者开始测试代码库中存在数月的整数回绕漏洞之前，请尽快应用此补丁。

为什么这次安全补丁比以往任何时候都更重要

大多数小版本更新只是清理一些特殊情况并更新时区文件，但这次更新实际上涉及到了数据库管理员日常使用的身份验证层和复制命令。服务器分配中的整数溢出漏洞尤其棘手，因为它允许精心构造的应用程序输入触发越界写入，从而导致后端进程崩溃。

运维人员经常注意到，类似的容量不足漏洞会在大量批处理负载期间造成静默的数据损坏，因此将其视为优先更新是合理的。pg_createsubscriber 和 REFRESH PUBLICATION 中的 SQL 注入漏洞也十分突出，因为逻辑复制设置通常默认以提升的权限运行。

如何在不停机的情况下应用 PostgreSQL 安全补丁

由于所有次要版本更新都是完全累积的，因此数据库管理员无需为此版本导出并重新加载数据库或运行 pg_upgrade 命令。仅仅为了应用次要版本升级而导出并重新加载数据是浪费时间，只会延长维护窗口。标准流程包括停止 postgres 服务，将二进制文件替换为新文件，然后重启守护进程。这样做之所以有效，是因为 PostgreSQL 的数据目录采用一种在次要版本之间保持向后兼容的格式，因此只要操作系统架构完全匹配，替换可执行文件就是安全的。

如果环境仍在运行版本 14，则必须规划升级路径，因为官方支持将于 2026 年 11 月 12 日结束。在明年之前运行不受支持的数据库将使系统面临未修复的内存泄漏和身份验证绕过漏洞的风险，这些漏洞最终都会出现在公开的漏洞利用数据库中。

这六十项漏洞修复对工作负载有何影响？

除了安全漏洞之外，此版本还悄然修复了几个在日常维护中令人头疼的查询规划器和复制机制问题。例如，外键可延迟性丢失漏洞会导致标记为延迟的约束在切换强制执行状态后突然表现得像立即检查一样，从而破坏应用程序的事务逻辑，且不会抛出明显的错误。

查询规划器中的分区修剪改进有望加快基于范围列进行筛选的大型分析查询的速度，而对 array_agg 并行执行的修复则可防止在高并发工作负载下出现重复或缺失的行。版本 2026b 的时区数据更新还处理了不列颠哥伦比亚省的永久夏令时变更，并修正了摩尔多瓦的历史转换日期，这对于跨多个区域记录时间戳的应用程序至关重要。

哪些漏洞需要立即关注

timeofday 函数中的内存泄露漏洞和 SSL 协商递归问题都允许本地攻击者通过精心构造的时区触发拒绝服务攻击或泄露服务器内存。由于大多数漏洞需要现有的数据库访问权限，因此远程利用仍然有限，但 lo_export 函数中的 libpq 堆栈溢出漏洞对于将大型二进制对象直接转储到客户端缓冲区中的应用程序仍然构成威胁。refint 模块的缓冲区溢出和 SQL 注入向量令管理员担忧，因为它们允许非特权用户通过级联主键更新提升到操作系统级别的执行权限。

团队应验证复制工具是否使用内部生成的订阅名称，而不是接受原始用户输入，因为 pg_createsubscriber 命令会将这些字符串直接解析为 SQL 语句。

结语

本次PostgreSQL 2026年5月安全更新直接关系数据库系统的安全稳定运行，所涵盖的11个漏洞修复及相关功能优化，均与数据库运维工作密切相关，及时应用对应补丁、科学规划版本升级，是防范各类安全风险、保障业务正常开展的关键举措。

在此，欢迎各位数据库从业者在评论区分享自身的补丁应用经验、运维过程中遇到的相关问题，也建议将本文分享给身边有需要的同行，共同交流学习、筑牢数据库安全防线。

编辑：大雄

参考：

https://www.postgresql.org/support/security/CVE-2026-6472/

https://www.postgresql.org/about/news/postgresql-184-1710-1614-1518-and-1423-released-3297/