PostgreSQL corregge 52 vulnerabilità e 140 bug: la versione 14 è fuori supporto

In sintesi

• PostgreSQL corregge 52 vulnerabilità e oltre 140 bug. Le patch riguardano le versioni 18.7, 17.12, 16.16, 15.20 e 14.25.
• Diverse falle permettono l’esecuzione di codice sul server. Altri problemi riguardano indici corrotti, backup potenzialmente inutilizzabili e risultati SQL errati.
• PostgreSQL 14 termina il supporto il 12 novembre 2026. La versione 14.25 è l’ultima della serie e non riceverà ulteriori aggiornamenti di sicurezza.

PostgreSQL rilascia uno degli aggiornamenti di sicurezza più consistenti del 2026, correggendo 52 vulnerabilità e oltre 140 difetti software che interessano database utilizzati da aziende, servizi cloud e applicazioni web. Il PostgreSQL Global Development Group ha pubblicato il 12 novembre le versioni 18.7, 17.12, 16.16, 15.20 e 14.25, intervenendo su problemi che spaziano dall’esecuzione arbitraria di codice alla corruzione degli indici. La pubblicazione coincide con una scadenza importante: PostgreSQL 14 raggiunge la fine del supporto, lasciando gli amministratori davanti alla necessità di pianificare una migrazione. Il rilascio arriva dopo la precedente correzione di una vulnerabilità PostgreSQL rimasta presente per dodici anni, confermando l’importanza di mantenere aggiornati anche i database considerati maturi.

PostgreSQL corregge 52 falle, alcune consentono esecuzione di codice

Secondo il comunicato ufficiale del progetto PostgreSQL, diverse vulnerabilità raggiungono 8,8 punti sulla scala CVSS. Tra queste, CVE-2026-6460 permette a un utente autorizzato a creare oggetti nel database di sfruttare una confusione nella gestione dei tipi di dato ed eseguire codice con i privilegi dell’account di sistema che gestisce PostgreSQL. La vulnerabilità CVE-2026-120145 riguarda invece la replica logica: un server sorgente compromesso può sfruttare sottoscrizioni appartenenti a un superutente per modificare cataloghi di sistema ed eseguire codice. Particolarmente delicata anche CVE-2026-116314, relativa alla validazione degli archivi utilizzati da pg_restore. Non si tratta però di 52 attacchi eseguibili da Internet senza autenticazione: molte falle richiedono privilegi, configurazioni particolari oppure il controllo preventivo di componenti del database. Il rischio richiama la precedente vulnerabilità SQL injection scoperta nello strumento psql.

Leggi anche

PostgreSQL corregge una falla vecchia di dodici anni, AWS aggiorna i propri servizi

Indici corrotti e backup difettosi: i problemi non riguardano soltanto gli hacker

Oltre 140 correzioni riguardano l’affidabilità dei dati e il funzionamento quotidiano dei server. Gli sviluppatori hanno risolto problemi negli indici GIN e GiST che potevano provocare risultati incompleti nelle ricerche, facendo apparire alcune righe come inesistenti oppure restituendo informazioni non pertinenti. Altri difetti interessavano i backup incrementali, la replica logica e le operazioni di aggiornamento delle tabelle. Alcuni errori potevano produrre risultati SQL sbagliati senza interrompere il funzionamento del database, una situazione particolarmente insidiosa per applicazioni gestionali e sistemi di analisi. Per le organizzazioni che utilizzano PostgreSQL in ambienti enterprise, come quelli descritti nell’approfondimento su AlloyDB Omni e PostgreSQL sui server aziendali, aggiornare il software potrebbe quindi non essere sufficiente: occorre verificare anche l’integrità degli indici e dei backup esistenti.

PostgreSQL 14 termina il supporto: cosa cambia per le aziende italiane

Il 12 novembre 2026 segna la fine ufficiale di PostgreSQL 14, rilasciato originariamente nel settembre 2021. La versione 14.25 rappresenta l’ultimo aggiornamento disponibile e non sarà seguita da ulteriori correzioni di vulnerabilità o malfunzionamenti. Le aziende italiane che utilizzano ancora PostgreSQL 14 devono quindi pianificare la migrazione verso una versione supportata, anziché considerare la sola installazione dell’ultima patch come una soluzione permanente. Restano supportate le serie 15, 16, 17 e 18, mentre PostgreSQL 19 si trova ancora nella fase Release Candidate 2, con disponibilità generale prevista per il 19 novembre. La fine del supporto aumenta progressivamente il rischio di esposizione, soprattutto quando i database sono raggiungibili attraverso servizi pubblici o applicazioni vulnerabili. Matrice Digitale aveva già documentato una campagna di cryptojacking contro oltre 1.500 server PostgreSQL esposti, dimostrando come configurazioni deboli e accessi eccessivi possano aggravare le conseguenze delle vulnerabilità.

Come aggiornare PostgreSQL e controllare indici e backup

Gli aggiornamenti minori possono essere installati senza eseguire pg_upgrade o esportare e reimportare l’intero database, ma PostgreSQL avverte che alcune correzioni richiedono interventi successivi. Gli amministratori devono ricostruire gli indici GIN sospettati di corruzione e quelli GiST basati su pg_trgm, verificare eventuali anomalie nelle tabelle TOAST e creare un nuovo backup completo se utilizzano backup incrementali. È inoltre necessario valutare la ricompilazione delle estensioni native in linguaggio C interessate dalle nuove protezioni sui tipi compositi. Il passaggio da PostgreSQL 14 a una versione principale successiva richiede invece una vera procedura di migrazione, preceduta da verifiche su compatibilità delle estensioni, repliche e applicazioni. Le istruzioni operative complete sono disponibili nelle note ufficiali di aggiornamento PostgreSQL. La preparazione dei sistemi di ripristino è parte della stessa strategia descritta nella guida alla sicurezza delle infrastrutture cloud e dei dati.

Continua con

AlloyDB Omni 18.3 porta PostgreSQL enterprise su server e bare metal

AWS corregge vulnerabilità nei database mentre WorkOS indaga su un incidente AI

Sicurezza dei database: perché aggiornare non è più facoltativo

Il rilascio PostgreSQL mostra che la sicurezza di un database non dipende soltanto dalle password o dalla protezione della rete. Vulnerabilità nella replica, nella gestione dei tipi di dato e negli strumenti di backup possono compromettere integrità e riservatezza delle informazioni anche all’interno di ambienti apparentemente controllati. Per le aziende italiane che gestiscono dati personali, applicazioni finanziarie o servizi essenziali, la priorità consiste nell’identificare le versioni installate, applicare gli aggiornamenti disponibili e verificare l’effettiva possibilità di recuperare i dati. La fine del supporto per PostgreSQL 14 rende inoltre necessario programmare una migrazione prima che emergano nuove vulnerabilità prive di correzioni. Le 52 falle risolte non dimostrano che tutti i server siano stati compromessi, ma costituiscono un motivo concreto per aggiornare subito le installazioni esposte e verificare quelle in produzione.