PostgreSQL向けのデータベース管理ツール「pgAdmin 4」で複数の脆弱性が判明した。開発チームは修正版を提供し、利用者に更新を呼びかけている。

開発チームは現地時間2026年10月29日、セキュリティアップデートとして「pgAdmin 4 9.19」を公開した。この版では136件のバグに対応したほか、CVEベースで15件の脆弱性を修正した。修正された脆弱性のうち2件は、4段階の重要度で最も高い「クリティカル」と評価されている。

このうち「CVE-2026-116241」は、データのインポートやエクスポートに関わる機能で見つかったOSコマンドインジェクションの脆弱性。過去に修正された「CVE-2026-17566」への対策が不十分だったとしている。

原因は、入力内容の検証と、コマンドラインツール「psql」による構文解釈の違いにある。悪用にはpgAdminでの認証とデータのエクスポート機能を使う権限が必要となるが、悪用されると、pgAdminが動作するホスト上で任意のOSコマンドを実行できる。

MARBLEの対応例：この件の場合

MARBLEは、pgAdmin 4の利用状況とバージョンをまず確認する。

  1. サーバーでpgAdmin 4を利用しているかを確かめる
  2. 利用中のバージョンと9.19への更新状況を確かめる
  3. データのエクスポート機能を使える権限を確かめる
  4. 必要に応じてpgAdmin 4を更新し、動作を確認する

関係するサービス

バージョンアップと改修150,000円〜

※金額は一例です。システムの構成や規模、作業の範囲によって変わります。

出典

Security NEXT「DB管理ツール「pgAdmin 4」に複数脆弱性 - 2件は「クリティカル」」（2026年11月2日）

この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。