포스트그레SQL 보안 업데이트, CVE 52건 수정

포스트그레SQL 개발그룹이 11월 12일에 지원 중인 전 버전을 대상으로 보안 업데이트를 내놨습니다. 18.7, 17.12, 16.16, 15.20, 14.25가 한꺼번에 올라왔고, 다음 메이저인 19는 RC 2까지 나왔습니다. 이번 판에서 정리된 보안 취약점이 52건, 그 외 버그 수정이 140건을 넘습니다. 한 분기 정기 업데이트치고는 보안 건수가 유독 많은 편이라, DB 운영하는 분들은 그냥 넘기지 마시고 패치 계획을 잡아두시는 게 좋습니다.

52건 가운데 32건이 CVSS 8.8로, 이번 배치에서 가장 높은 점수입니다. 대부분 메모리 오류나 타입 혼동(type confusion) 계열로, 값을 엉뚱한 자료형으로 처리하다 임의 코드 실행까지 이어지는 유형입니다. 영향 범위가 PL/Perl, PL/Tcl 같은 절차 언어, ts_rank_cd() 같은 전문검색 함수, 병렬 쿼리, 논리 복제, dblink, 통계 임포트까지 걸쳐 있어 서버 한 곳만 보고 안심하긴 어렵습니다. 클라이언트 쪽도 pg_dump의 SQL 인젝션, 복구 스크립트의 명령 주입이 포함돼 있으니 서버 바이너리만 올리지 말고 클라이언트 도구도 같이 갱신하셔야 합니다.

자, 패치만 한다고 끝이 아닌 항목이 섞여 있어 짚어둡니다. 이번 수정에는 올린 뒤 손으로 돌려야 하는 후속 작업이 붙어 있습니다. GIN 인덱스, pg_trgm GiST 인덱스, 특정 컬럼의 B-tree 인덱스는 재인덱싱이 필요하고, 영향받는 테이블은 REINDEX TABLE을 돌려야 합니다. 증분 백업을 쓰는 환경이라면 새로 전체 백업을 다시 떠두라는 안내도 있습니다. 무작정 버전만 올리고 지나가면 인덱스가 조용히 잘못된 결과를 돌려줄 수 있으니, 릴리스 노트의 후속 조치 목록을 먼저 확인합시다.

한편 14.25는 포스트그레SQL 14의 마지막 릴리스입니다. 14는 이번을 끝으로 수명 종료라 앞으로 보안 패치도 버그 수정도 받지 못합니다. 아직 14로 운영 중이라면 상위 메이저로의 업그레이드 계획을 지금부터 세워두는 편이 안전합니다. 참고로 포스트그레SQL 19 정식 공개 예정일은 11월 19일로 잡혀 있습니다.

🔗 http://www.mail-archive.com/pgsql-announce@lists.postgresql.org/msg01811.html

🔗 https://www.helpnetsecurity.com/2026/11/13/postgresql-security-update-november-2026/