PostgreSQL corrige 52 vulnérabilités et met fin au support de la branche 14

Ce qui est nouveau

Le PostgreSQL Global Development Group annonce les versions correctives 18.7, 17.12, 16.16, 15.20 et 14.25, ainsi que PostgreSQL 19 RC 2, deuxième version candidate de la prochaine branche majeure. La livraison du 12 novembre 2026 corrige 52 vulnérabilités de sécurité et plus de 140 bogues signalés au cours des derniers mois.

Le projet précise que certains correctifs peuvent nécessiter des opérations supplémentaires après la mise à jour, décrites dans la rubrique « Updating » de son annonce.

Ce qui change et pourquoi

Les corrections couvrent notamment des exécutions de code arbitraire, des injections de commandes et des divulgations de mémoire. Deux avis détaillent des scénarios distincts.

La faille CVE-2026-6460 permet à un utilisateur capable de créer des objets d'exécuter du code avec les droits du compte système qui fait fonctionner la base. Elle provient d'un suivi insuffisant des types de valeurs, notamment après une modification du type d'une colonne : des valeurs devenues obsolètes peuvent subsister dans différentes parties du serveur.

La faille CVE-2026-120145 touche la réplication logique. Un serveur éditeur compromis peut désigner un catalogue système comme cible de réplication et provoquer une exécution de code sur le serveur abonné. Seuls les abonnements appartenant à un superutilisateur sont vulnérables, précise l'avis officiel. Ces deux failles affectent les versions antérieures aux correctifs publiés dans les branches 14 à 18.

Pourquoi c'est important

Le périmètre dépasse le moteur de requêtes : les correctifs concernent aussi les extensions et des outils de sauvegarde, de restauration ou de maintenance. Les conditions d'exploitation diffèrent selon les failles ; elles ne correspondent donc pas toutes à une attaque sans authentification.

Cette publication marque également la fin du support de PostgreSQL 14. La version 14.25 est sa dernière livraison : cette branche ne recevra plus de corrections de sécurité ni de bogues. PostgreSQL 19 reste, pour sa part, au stade de version candidate.