「バックアップ用アカウントしか持っていない攻撃者が、データベースを完全支配できる」――そんな衝撃的な脆弱性が、世界中で広く使われているオープンソースデータベース「PostgreSQL」で発見されました。「PostGREShell（CVE-2026-6471）」と名付けられたこの脆弱性は、2014年のPostgreSQL 9.4から現在に至るまで12年間にわたって存在し続けており、2026年8月13日にようやくパッチが公開されました。金融・製造・公共など多くの業界でPostgreSQLはミッションクリティカルな用途に採用されており、対応が遅れると深刻なデータ漏洩やシステム侵害につながる可能性があります。本記事では、脆弱性の仕組みから企業が取るべき対処手順まで、IT担当者向けに分かりやすく解説します。
「PostGREShell」とは何か――12年間見過ごされた致命的な欠陥
PostGREShell（CVE-2026-6471）は、セキュリティ企業Cyeraの研究チームが発見した脆弱性で、CVSSスコアは7.2（重要）と評価されています。影響を受けるのはPostgreSQL 9.4（2014年リリース）以降のすべてのバージョンで、世界中の膨大な本番環境が対象となります。
問題の根源はPostgreSQLの「論理デコーディング（Logical Decoding）」機能にあります。この機能はデータ変更をリアルタイムで追跡・転送するために使われており、バックアップツール、スタンバイサーバー、CDC（Change Data Capture）パイプライン、監視システムなど、多くの標準的な運用コンポーネントが「REPLICATION権限」付きアカウントを利用しています。
このREPLICATION権限を持つ低権限ユーザーが、論理デコーディングのプラグイン選択機能を悪用することで、PostgreSQLサーバーが動作するOSアカウントからアクセス可能な任意のライブラリファイルを読み込ませることができます。その結果、任意コードの実行・データベーススーパーユーザー権限への昇格・永続的なバックドアの設置までが可能になります。Windows・Linux・macOSのいずれの環境でも影響を受けます。
どのような環境が特に危険か――影響範囲を正確に把握する
本脆弱性の悪用に必要な条件は以下の2つです。
① REPLICATION属性を持つアカウントが存在する
② サーバーの「wal_level」パラメーターが「logical」に設定されている
この2条件は、実は多くの企業システムで標準的に満たされています。なぜなら、DebeziumやKafka Connectを用いたCDCパイプライン、pglogicalやBDRを使った論理レプリケーション構成、PgBouncerと組み合わせた高可用性構成、さらには一部のクラウドマネージドサービスのバックアップ機能が、いずれもREPLICATION権限アカウントを前提としているからです。
特に注意が必要なのは、クラウド上のマネージドPostgreSQL（Amazon RDS for PostgreSQL、Azure Database for PostgreSQLなど）を利用している場合です。クラウド事業者側でパッチ適用が行われる場合もありますが、バージョン確認と設定の見直しは利用者側でも必ず実施してください。
なお、PostgreSQL 13以前のバージョン（サポート終了済み）は公式パッチの提供対象外となっているため、早急なバージョンアップが必要です。
まず行うべき対処手順――パッチ適用と設定変更の両輪で対応
本脆弱性への対応は「パッチ適用」と「権限設定の見直し」の2段階で進めることが推奨されています。
【ステップ1：パッチ適用（最優先）】
以下のバージョンにアップデートしてください。
・PostgreSQL 18 → 18.6
・PostgreSQL 17 → 17.11
・PostgreSQL 16 → 16.15
・PostgreSQL 15 → 15.19
・PostgreSQL 14 → 14.24
パッチは2026年8月13日にリリース済みです。まずは`SELECT version();`コマンドで現在のバージョンを確認しましょう。
【ステップ2：output_plugin_libraries パラメーターの設定】
パッチ適用後、新たに追加された`output_plugin_libraries`パラメーターに、使用を許可するプラグイン名を明示的に列挙してください。デフォルト値は`pgoutput, test_decoding`です。DebeziumでWAL2JSONやdecoderbufsを使用している場合は、パッチ適用前にこれらをリストに追加しておかないとCDCパイプラインが停止するため要注意です。
【ステップ3：REPLICATIONアカウントの棚卸し】
`SELECT usename, userepl FROM pg_user WHERE userepl = true;`を実行し、REPLICATION属性を持つアカウントを一覧化してください。不要なアカウントからは`ALTER USER 〈ユーザー名〉 NOREPLICATION;`で権限を剥奪します。
パッチ適用後に注意すべき副作用――CDCパイプライン停止リスクへの備え
今回の修正は脆弱性を塞ぐ一方で、既存のCDCパイプラインやカスタム論理レプリケーションプラグインに影響を与える可能性があります。具体的には、`output_plugin_libraries`のデフォルト設定（`pgoutput, test_decoding`のみ許可）では、サードパーティ製プラグインが使用不可となります。
以下のような環境は特に影響を受けます。
・DebeziumとWAL2JSON／decoderbufsを組み合わせた構成
・カスタム開発した論理デコーディングプラグイン
・pglogical、BDRなどのレプリケーション拡張機能
対応策として、本番環境へのパッチ適用前に、必ずステージング環境でCDCパイプラインの動作確認を行ってください。また、`output_plugin_libraries`の設定変更はPostgreSQLの再起動を必要とするため、メンテナンスウィンドウを設けた上で計画的に実施することが重要です。
データベース管理者（DBA）だけでなく、システム運用・アプリケーションチームとも事前に情報を共有し、影響範囲の確認を組織横断で進めることを強く推奨します。
今回の事例から学ぶ教訓――「低権限アカウント」も侮れない時代へ
Photo by Markus Winkler on Unsplash
PostGREShellが浮き彫りにしたのは、「バックアップ用の低権限アカウントだから安全」という先入観の危うさです。REPLICATIONはスーパーユーザー権限ではありませんが、論理デコーディングという機能と組み合わさることで、スーパーユーザーと同等以上の被害をもたらすことが示されました。
企業のIT担当者が今後心がけるべきポイントを以下にまとめます。
・最小権限の原則を徹底する：REPLICATION属性が本当に必要なアカウントのみに付与し、不要な権限は定期的に棚卸しする
・OSS製品のセキュリティ情報を継続的に追う：PostgreSQLの公式セキュリティアナウンス（https://www.postgresql.org/support/security/）やJPCERT/CCの情報をRSSやメーリングリストで受け取る仕組みを整える
・バージョン管理とパッチサイクルを明確化する：EOL（サポート終了）バージョンを本番環境で使い続けないよう、アップグレード計画を年次で見直す
・検出困難な侵害を想定した監視を強化する：今回の脆弱性のように長期潜伏型の攻撃では、ログ監査・異常検知ツールの整備がダメージ最小化の鍵となる
脆弱性の発見から修正・公開まで時間がかかるケースは今後も続きます。「発覚したときに素早く対応できる体制」を日頃から整えておくことが、現代のセキュリティ管理の要です。
よくある質問
PostgreSQLをクラウドのマネージドサービス（RDS・Azure DBなど）で使っている場合も対応が必要ですか？
クラウド事業者がパッチをすでに適用済みの場合がありますが、利用中のバージョンを必ず確認してください。また、output_plugin_librariesの設定やREPLICATIONアカウントの棚卸しは利用者側の責任範囲となるため、設定面の確認は自社で行う必要があります。
REPLICATION権限を持つアカウントがない場合、影響を受けますか？
REPLICATIONアカウントが存在しない環境では悪用条件を満たさないため、直接的なリスクは低いとされています。ただし、今後のアカウント追加などに備えてパッチ適用は行っておくことが強く推奨されます。
パッチを適用するとCDCパイプラインが止まる可能性があると聞きましたが、どう備えればいいですか？
output_plugin_librariesパラメーターにWAL2JSONやdecoderbufsなど使用中のプラグイン名を事前に追加した上でパッチを当てることで停止を防げます。必ずステージング環境で動作確認を行い、メンテナンスウィンドウを設けて本番適用してください。
PostgreSQL 13以前の古いバージョンを使っている場合はどうすればよいですか？
PostgreSQL 13はすでにサポートが終了しており、今回のCVE-2026-6471に対する公式パッチは提供されません。サポート対象バージョン（14以降）への早急なアップグレードを計画してください。移行計画の策定が困難な場合はREPLICATIONアカウントの無効化を暫定措置として検討してください。