CVE-2026-120143CVSS 8.8触发器游标释放后重用
能创建数据库对象的用户可借触发器过渡表上的游标，以数据库服务进程的操作系统账户执行代码。
PostgreSQL 修复服务端、逻辑复制和备份工具的 52 个漏洞
PostgreSQL 18.7、17.12、16.16、15.20 和 14.25 修复 52 个漏洞。其中部分漏洞可让数据库对象创建者、遭入侵的逻辑复制发布端或特制备份归档触发操作系统代码执行。14.25 是上游为 PostgreSQL 14 发布的最后一个版本。
- 披露时间
- 2026年11月12日
- 公开披露日期
- 严重程度
- CVSS 8.8 × 4
- 本页收录 5 个 CVE
- 波及范围
- 较早的 PostgreSQL 14–18 服务端及客户端工具。具体风险取决于数据库权限、逻辑复制配置和还原的备份。
- PostgreSQL · 数据库 · 安全更新
- 在野利用
- 未知
- 已核阅的上游发布说明与公告未报告确认的在野利用。
发生了什么
PostgreSQL 在 11 月 12 日的更新覆盖数据库权限边界、内存安全、逻辑复制和管理工具。项目公布了 52 个 CVE 的完整列表，各公告分别列出受影响版本。
服务端的利用前提各不相同。CVE-2026-120143 要求攻击者能创建数据库对象。CVE-2026-120145 要求发布端已遭入侵，且订阅由超级用户拥有。CVE-2026-116322 在登录前可触发，能让存在漏洞的 PostgreSQL 18 服务重启。
客户端工具也要在实际运行的机器上更新。CVE-2026-116314 影响使用 pg_restore 处理特制非纯文本归档的主机。CVE-2026-116330 影响用 psql 执行来自遭入侵服务器的 tar 导出归档内还原脚本的主机。同一主版本内可直接升级，无须运行 pg_upgrade 或导出再导入。仍须执行本次发布的备份及索引维护步骤。
受影响的 PostgreSQL 部署范围广，满足相应前提时可导致操作系统代码执行，因此评为 L3。已核阅的上游资料未披露遭入侵的部署，也未报告在野利用。
马桶里有什么
CVE-2026-120145CVSS 8.8逻辑复制授权缺陷
若订阅由数据库超级用户拥有，遭入侵的发布端可把订阅端的系统目录指定为复制目标，以订阅端服务进程的操作系统账户执行代码。
CVE-2026-116314CVSS 8.8还原归档时执行代码
用存在漏洞的 pg_restore 处理特制的非纯文本归档，可导致代码以运行还原工具的操作系统账户执行。
CVE-2026-116330CVSS 8.8通过 tar 归档中的还原脚本注入 psql 命令
遭入侵的源服务器可影响 tar 导出文件。用 psql 执行其中的 restore.sql 时，代码可在客户端以运行工具的操作系统账户执行。
CVE-2026-116322CVSS 5.3PostgreSQL 18 在认证前可被触发重启
网络客户端可控制取消请求的时机，使其与认证超时发生竞争，触发服务重启。此漏洞仅影响主版本 18。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| PostgreSQL 18 | 18.7 | |
| PostgreSQL 17 | 17.12 | |
| PostgreSQL 16 | 16.16 | |
| PostgreSQL 15 | 15.20 | |
| PostgreSQL 14 | 14.25 | 上游最终版本 |
案发时间线
2026年11月12日
PostgreSQL 发布修复，结束对 14 的上游维护
项目发布 14–18 稳定分支更新，并将适用的修复纳入 PostgreSQL 19 RC 2。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- PostgreSQL 发布公告一手来源列出全部 52 个漏洞、发布版本、14 的停止维护说明及更新后的维护步骤。
- PostgreSQL 18.7 版本说明一手来源说明该分支的改动和额外维护步骤。