PostgreSQL'de 52 açık kapatıldı, PostgreSQL 14'ün desteği sona erdi

PostgreSQL Küresel Geliştirme Grubu, 12 Kasım’da açık kaynak veritabanı PostgreSQL’in desteklenen bütün sürümleri için güncelleme yayımladı: 18.7, 17.12, 16.16, 15.20 ve 14.25. Projenin duyurusuna göre güncellemeler son birkaç ayda bildirilen 52 güvenlik açığını ve 140’tan fazla hatayı kapatıyor. Aynı gün PostgreSQL 19’un ikinci sürüm adayı (19 RC 2) da yayımlandı.

Güvenlik açıkları

Duyuruda listelenen 52 açıktan 32’sinin CVSS 3.1 puanı 8.8 ve en yüksek puan da bu. Duyurudaki başlıklara göre 52 açığın 24’ü tür karışıklığı, use-after-free, yığın taşması ya da tamsayı taşması kaynaklı. Duyurudaki başlıklara göre 28 açık keyfi kod çalıştırmaya yol açabiliyor. Bunlardan bazıları:

• CVE-2026-6460: ALTER … SET DATA TYPE işleminden sonra oluşan tür karışıklığı.
• CVE-2026-18447: SQL dilindeki işlevlerde “any” türündeki çıktı parametresiyle oluşan tür karışıklığı.
• CVE-2026-116304: Paralel çalışan işçi süreçleri arasında anonim RECORD türü tanımlayıcılarının eşgüdümünde use-after-free.
• plperl ve pltcl dil eklentilerinde birden çok use-after-free ve tür karışıklığı açığı.

CVE kayıtlarına göre bu üç açık, veritabanının çalıştığı işletim sistemi kullanıcısı yetkisiyle kod çalıştırmaya imkân veriyor. Kayıtlarda CVE-2026-6460 ve CVE-2026-18447 için nesne oluşturma yetkisi olan bir kullanıcının, CVE-2026-116304 için ise bir veritabanı kullanıcısının yeterli olduğu belirtiliyor. Puanlamaya göre bu açıklar ağ üzerinden, düşük yetkili bir hesapla ve kullanıcı etkileşimi olmadan kullanılabiliyor. Kayıtlardaki CISA değerlendirmesine göre üç açık için de istismar görülmedi.

Diğer açıklar arasında pg_dump ve reindexdb gibi araçlarda SQL ve komut enjeksiyonu, satır güvenliği (row security) politikalarının atlatılması ve sunucu belleğinin açığa çıkması var.

PostgreSQL 14’ün sonu

PostgreSQL 14.25, bu ana sürümün son güncellemesi. Proje, PostgreSQL 14’ün desteğinin sona erdiğini ve artık güvenlik ve hata düzeltmesi almayacağını, üretim ortamında bu sürümü kullananların daha yeni, desteklenen bir sürüme geçmeyi planlamasını öneriyor.

Güncellemeden sonra yapılacaklar

Küçük sürüm güncellemeleri birikimli. Veritabanını dışa aktarıp yeniden yüklemek ya da pg_upgrade kullanmak gerekmiyor, PostgreSQL’i durdurup ikili dosyaları güncellemek yeterli. Ancak duyuruya göre bazı düzeltmeler ek adımlar gerektiriyor:

• GIN dizinlerinin bozulmadan etkilendiğinden şüpheleniliyorsa REINDEX ile yeniden oluşturulması
• pg_trgm kullananların gist_trgm_ops operatör sınıfını kullanan GiST dizinlerini yeniden oluşturması
• Uzunluk belirtilmeden bpchar olarak tanımlanmış sütunlardaki B-tree dizinlerinin yeniden oluşturulması
• Artımlı (incremental) yedek kullananların güncellemeden sonra yeni bir tam yedek alıp sonraki artımlı yedekleri ona dayandırması
• Bölümlenmiş tablolardaki NOT NULL NO INHERIT kısıtlamalarının duyurudaki sorguyla bulunup gözden geçirilmesi
• Bir tabloyu okurken “missing chunk number” hatası görülüyorsa tablonun REINDEX ile yeniden oluşturulması

Bir ya da daha fazla güncellemeyi atlayanların önceki sürümlerin notlarındaki ek adımlara da bakması gerekiyor.

PostgreSQL 19

Projeye göre PostgreSQL 19’un 19 Kasım’da genel kullanıma sunulması planlanıyor. 19 RC 2, bu güncellemedeki düzeltmelerden PostgreSQL 19’a uygulanabilenleri de içeriyor.