PostgreSQL : 28 failles corrigées dans les versions 18.6, 17.11, 16.15, 15.19 et 14.24 (CVSS jusqu'à 8,8)
La mise à jour du 13/08/2026 corrige 28 failles de PostgreSQL, dont plusieurs exécutions de code (CVSS 8,8) par un utilisateur authentifié ou via pg_dump. Debian 12 et 13 sont à jour. Pas d'exploitation connue.
par Frédéric Vagner · publié le
- Sévérité
- Haute CVSS 8,8 / 10
- CVE
- CVE-2026-19385 CVE-2026-18408 CVE-2026-16239 CVE-2026-16238 CVE-2026-15742 CVE-2026-15741 CVE-2026-14680 CVE-2026-14679 CVE-2026-14677 CVE-2026-14676 CVE-2026-14671 CVE-2026-14670 CVE-2026-14669 CVE-2026-14668 CVE-2026-14664 CVE-2026-14662
- Produits
- DebianPostgreSQL
- Versions touchées
- PostgreSQL 14 à 18 avant 18.6, 17.11, 16.15, 15.19, 14.24
- Versions corrigées
- 18.6, 17.11, 16.15, 15.19, 14.24 (13/08/2026) ; Debian 12 : 15.19-0+deb12u1 ; Debian 13 : 17.11-0+deb13u1
- Correctif
- Correctif disponible
- Source
- www.postgresql.org ↗
Qui est concerné ?
Tous les serveurs et clients PostgreSQL 14 à 18 non mis à jour : versions avant 18.6, 17.11, 16.15, 15.19 et 14.24 (publiées le 13/08/2026). Debian 12 fournit PostgreSQL 15 (15.19-0+deb12u1 en sécurité) et Debian 13 PostgreSQL 17 (17.11-0+deb13u1) : les deux sont corrigés d'après le tracker Debian. Les hébergements qui installent PostgreSQL depuis le dépôt PGDG (apt.postgresql.org) ou depuis Plesk doivent vérifier leur numéro de version.
Risque
Le projet PostgreSQL liste 28 CVE corrigées dans cette version, avec des scores CVSS v3 jusqu'à 8,8 (17 CVE à 8 ou plus). Exemples :
| CVE | Composant | Faille | CVSS |
|---|---|---|---|
| CVE-2026-19385 | pg_dump | Dépassement de tampon : exécution de code à la restauration/lecture | 8,8 |
| CVE-2026-18408 | psql | \unrestrict : un superutilisateur d'un serveur source exécute du code dans le client | 8,8 |
| CVE-2026-16239 | serveur | Confusion de type sur CLOSE/DECLARE d'un curseur : exécution de code | 8,8 |
| CVE-2026-15741 | serveur | Injection SQL via l'argument d'EXTRACT | 8,8 |
| CVE-2026-14679 | serveur | Dépassement de pile : écriture d'octets en mémoire du serveur | 8,2 |
| CVE-2026-14668 | serveur | Fuite de données via l'estimateur de sélectivité (type ctid) | 8,1 |
| CVE-2026-14672 | serveur | Écart de réponse SCRAM : devinette de l'existence d'un utilisateur (scram_iterations non standard) | 5,3 |
| CVE-2026-14663 | pgcrypto | Chiffrement silencieusement inopérant pour certains chiffrements désactivés dans OpenSSL | 6,5 |
La plupart exigent un compte de base de données (privilèges faibles) ou un jeu de données piégé ; aucune exploitation active n'est signalée (absente du catalogue CISA KEV au 23/10/2026). La liste complète est sur la page de sécurité du projet.
Corriger
# Debian 12 / 13
apt update && apt install --only-upgrade postgresql-15 # ou postgresql-17
systemctl restart postgresql
# Dépôt PGDG : même commande avec le paquet de la version installéeLes versions mineures de PostgreSQL ne demandent pas de migration de données : il suffit de redémarrer le service. La prochaine version mineure est prévue le 12/11/2026.
Vérifier
psql -V
sudo -u postgres psql -c "SELECT version();"