【误差通告】PostgreSQL堆缓冲区溢出误差（CVE-2026-14669)

宣布时间 2026-08-14

一、误差概述



PostgreSQL是一款开源关系型数据库治理系统，用于存储、治理和盘问结构化数据，支持事务处置惩罚、重大SQL盘问、数据类型扩展及多种数据库功效，常用于Web应用、营业系统、数据平台及其他需要关系型数据存储和处置惩罚的场景。


2026年8月14日，尊龙凯时清静应急响应中心（VSRC）监测到PostgreSQL堆缓冲区溢出误差。保存于to_char(timestamptz)时间名堂化处置惩罚历程中。由于系统在处置惩罚较长的POSIX时区缩写时保存内存清静问题，能够选择或控制时区的一方可结构特准时区数据触发堆缓冲区溢出，并可能进一步执行恣意代码。乐成使用该误差后，攻击者可获得与PostgreSQL数据库历程相同的操作系统用户权限，进而对数据库运行情形中的数据和服务造成影响。



二、影响规模



PostgreSQL 18 < 18.5

PostgreSQL 17 < 17.11

PostgreSQL 16 < 16.15

PostgreSQL 15 < 15.19

PostgreSQL 14 < 14.24



三、清静步伐



3.1 升级版本


PostgreSQL 18 >= 18.5

PostgreSQL 17 >= 17.11

PostgreSQL 16 >= 16.15

PostgreSQL 15 >= 15.19

PostgreSQL 14 >= 14.24

下载链接：

https://www.postgresql.org/docs/release/


3.2 暂时步伐


暂无。


3.3 通用建议


按期更新系统补丁，镌汰系统误差，提升服务器的清静性。

增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面。

使用企业级清静产品，提升企业的网络清静性能。

增强系统用户和权限治理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度。

启用强密码战略并设置为按期修改。


3.4 参考链接


https://www.postgresql.org/support/security/CVE-2026-14669/

https://nvd.nist.gov/vuln/detail/CVE-2026-14669