KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-14669 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
PostgreSQL 是一款广泛使用的开源对象关系数据库系统。2026年8月披露任意代码执行漏洞。该漏洞源于核心服务 to_char() 函数在格式化 timestamptz 类型数据时存在堆缓冲区溢出（CWE-122）：会话时区设置中用户可控的超长 POSIX 时区缩写未经长度校验，即被复制到固定大小的堆缓冲区。远程攻击者需普通数据库用户权限即可利用该漏洞，可造成数据库进程崩溃，并可在运行数据库的操作系统用户权限下执行任意代码，导致服务器失陷。
受影响版本：PostgreSQL 18.6 之前的 18.x 版本、17.11 之前的 17.x 版本、16.15 之前的 16.x 版本、15.19 之前的 15.x 版本、14.24 之前的 14.x 版本。
影响范围
系统：alma_linux_9 postgresql（影响面 Up to (excluding) 13.23-6.el9_8）
系统：alpine_3.21 postgresql15（影响面 Up to (excluding) 17.11-r0）
系统：alpine_3.22 postgresql15（影响面 Up to (excluding) 17.11-r0）
系统：alpine_3.23 postgresql16（影响面 Up to (excluding) 18.5-r0）
系统：alpine_3.24 postgresql16（影响面 Up to (excluding) 17.11-r0）
系统：alpine_3.24 postgresql17（影响面 Up to (excluding) 18.5-r0）
系统：amazon_2 postgresql（影响面 Up to (excluding) 14.24-1.amzn2.0.1）
系统：amazon_2023 postgresql18（影响面 Up to (excluding) 18.6-1.amzn2023.0.1）
……另有 7 项受影响环境，详见官方公告
解决方案
1、升级至 PostgreSQL 18.6、17.11、16.15、15.19 或 14.24 及以上版本。
2、利用安全组设置其仅对可信地址开放。
参考信息
https://www.postgresql.org/support/security/CVE-2026-14669/
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。