Das PostgreSQL-Projekt veröffentlichte am 13. August 2026 Version 14.24, koordiniert mit den Releases 15.19, 16.15, 17.11 und 18.6 Beta 3. Diese Wartungsversionen beheben erhebliche Sicherheitsprobleme und funktionelle Mängel im Datenbanksystem.

Zu den Sicherheitshighlights gehört ein neuer Server-Parameter output_plugin_libraries, der Logical-Decoding-Output-Plugins auf eine Whitelist beschränkt und verhindert, dass unprivilegierte Replikationsbenutzer beliebige Bibliotheken laden. Standardmäßig sind nur die integrierten pgoutput- und test_decoding-Plugins erlaubt; Administratoren müssen diese Einstellung anpassen, falls benutzerdefinierte Plugins verwendet werden.

Ein kritischer Fehler in contrib/pgcrypto's PGP-Verschlüsselung wurde behoben, bei dem OpenSSL-Cipher-Ablehnungen (aufgrund von FIPS-Modus oder fehlenden Providern) nicht erkannt wurden, was zu stiller, gebrochener Verschlüsselung mit XOR-Operationen auf Klartext führte. Eine neue Option ignore-cipher-failure ermöglicht die Wiederherstellung betroffener Daten vor Neuverschlüsselung. Veraltete Cipher (Blowfish, Twofish, Cast5, 3DES) sind am stärksten betroffen.

Mehrere Pufferüberläufe wurden behoben: to_char() mit langen Zeitzonenkürzel, regexp match/split-Funktionen mit ungültiger Codierung und pg_stat_statements-Abfrage-Normalisierung. Ein Pufferüberlauf in to_char() stürzt den Server leicht ab; Fixes wurden von Sicherheitsforschern aus AntAISecurityLab und OpenAI und anderen gemeldet.

Lücken bei der Privilegienprüfung wurden in CREATE TYPE AS RANGE, ALTER TABLE OF und Erstellung von gespeicherten Ausdrücken geschlossen – diese Befehle erlauben Benutzern ohne USAGE-Berechtigung auf Datentypen nicht länger, abhängige Objekte zu erstellen. GSSEncRequest wird nun nach TLS-Verbindungsaufbau abgelehnt, um pg_hba-Richtlinien-Umgehung zu verhindern.

SQL-Injection-Risiken wurden eliminiert: EXTRACT()-Funktionsaufrufe werden nun ordnungsgemäß in Anführungszeichen gesetzt, wenn sie während Operationen wie pg_dump deparsed werden, und psql's \unrestrict-Befehl expandiert Backticks nicht länger in der Eingabe, wodurch ein Loch aus der CVE-2025-8714-Behebung geschlossen wird.

Portal-Zeilentyp-Nichtübereinstimmungen in EXECUTE/FETCH konnten Server-Speicheroffenlegung und Code-Ausführung ermöglichen; Querverweise verhindern dies nun. Der Planer-Schätzer scalarineqsel() prüft nun, dass tid-Typ-Konstanten echt sind. Rollenabhängige zwischengespeicherte Pläne werden nach Änderungen an Mitgliedschaft, Attributen oder Besitz ungültig, um Umgehung von Sicherheitsrichtlinien auf Zeilenebene zu verhindern.

Zusätzliche Fixes behandeln tsvector/tsquery-Längenlimits, Validierung der Funktionsargumentzahl, Internal-Typ-Funktionsaufrufe, Eigentümerschaft erweiterter Statistiken während ALTER TABLE und ecpg-bytea-Verarbeitung. PL/Perl und PL/Tcl wurden gehärtet gegen Tied-Objekte und Integer-Überläufe in Speicherberechnungen.

Contrib-Modul-Fixes umfassen amcheck-search_path-Einschränkung, fuzzystrmatch-Integer-Overflow in levenshtein-Funktionen, pg_trgm-GiST-Pufferüberlauf, btree_gist-NaN-Verarbeitung und not-equal-Operator-Suchen sowie ltree-Integer-Overflow bei Vergleichen. Der fehlerhafte Plancache des refint-Moduls wurde entfernt.

Build-Unterstützung wurde für Visual Studio 2026 und OpenSSL 4 hinzugefügt. Zeitzonendaten wurden auf tzdata 2026c aktualisiert, was Albertas permanentes UTC-06 ab November 2026 und Marokkos Wechsel zu permanentem UTC+00 am 20. September 2026 widerspiegelt.

Die PostgreSQL-Community wird Updates für Version 14.X im November 2026 einstellen. Für Version-14-Benutzer ist keine Dump-Wiederherstellung erforderlich, aber Konfigurationsanpassungen und Datenbereiningung können erforderlich sein – Details finden sich in den offiziellen Release Notes.