PostgreSQL 14のサポート終了はいつ？確認と移行手順【2026年版】
IT Picks編集部
IT Picks
pgAdmin 4に脆弱性15件、2件は緊急【2026年10月】
IT Picks編集部
PostgreSQL のデータベースを、ブラウザから pgAdmin で管理している人は多いのではないでしょうか。
2026年10月29日、pgAdmin 開発チームは「pgAdmin 4 v9.19」を公開し、脆弱性15件（CVE-2026-116238〜CVE-2026-116252）を修正しました。 翌30日に公開された CVE の記録では、2件が CVSS で「クリティカル（緊急）」 と評価されています。
News Archive
15件はすべて 9.19 より前のバージョンが対象 です。Docker や Web サーバーで pgAdmin を動かし、複数の人にログインさせている環境ほど影響が大きい 内容と言えます。
この記事はこんな人向けです
- VPS や社内サーバーで PostgreSQL を運用し、管理に pgAdmin 4 を使っている
- Docker や Web サーバーで pgAdmin を動かし、複数の人にログインさせている
- 「クリティカル」の2件の中身と、自分の環境が対象か・どう更新するかを知りたい
目次
pgAdmin 4 9.19の脆弱性とは？一言でまとめると
「主にサーバーモード（複数人で使う Web 版）の守りを固めた、15件のセキュリティ修正」 です。
| 項目 | 内容 |
|---|---|
| 修正版の公開日 | 2026年10月29日（pgAdmin 4 v9.19） |
| 直した脆弱性 | 15件（CVE-2026-116238〜116252） |
| 影響を受けるバージョン | 9.19 より前のすべて |
| 修正版 | 9.19 |
| 「クリティカル」の2件 | CVE-2026-116241（OS コマンドの実行）、CVE-2026-116238（ログイン失敗の制限の回避） |
| 悪用の報告 | 公式の発表・CVE の記録に 記載なし |
| 回避策 | 公式の案内は 最新版への更新 |
CVSS は脆弱性の深刻さを 0〜10 で表す共通の指標です。9.0 以上が「クリティカル」にあたります。
そもそもpgAdminとは：サーバーモードとデスクトップモード
pgAdmin は、PostgreSQL を GUI で管理するオープンソースのツール です。公式は「PostgreSQL の代表的なオープンソースの管理ツール」と紹介しています。
使い方は大きく2つあります。
- デスクトップモード：自分の PC にアプリとして入れて、1人で使う
- サーバーモード：サーバーに Web アプリとして置き、複数のユーザーがブラウザからログインして使う
Docker Hub の公式コンテナ（dpage/pgadmin4）は サーバーモードで動きます。今回の15件の多くは、CVE の説明に 「サーバーモードで」 と書かれています。
PostgreSQL 本体のバージョンの確認や更新については、こちらでも解説しています。
あわせて読みたい
PostgreSQL 14のサポート終了はいつ？確認と移行手順【2026年版】
発表の概要：pgAdmin開発チームが伝えたこと
公式ニュース「pgAdmin 4 v9.19 Released」の要点は次のとおりです。
- 9.19 には 136件のバグ修正・新機能 が入り、そのうち 15件が脆弱性の修正
- 修正の中心は、コマンドの実行、ログインの回避、ユーザー同士の分離（サーバーモード）
- Windows・macOS 版、Python Wheel、Docker コンテナ、RPM、DEB がすでに公開済み
pgAdmin の公式「Security」ページは、「最新のリリースを使うことを強く推奨」 としています。なお、このページの一覧には、11月2日時点で 9.19 の CVE がまだ載っていません。9.19 の詳細は、リリースノートと CVE の記録で確認できます。
「クリティカル」の2件で何が起きるのか
2件は CVE の記録で次のように評価されています。
| CVE | 中身 | CVSS v3.1 | CVSS v4.0 |
|---|---|---|---|
| CVE-2026-116241 | Import/Export Data で OS コマンドを実行される | 9.9（クリティカル） | 9.4（クリティカル） |
| CVE-2026-116238 | ログイン失敗の制限を回避 される | 8.1（重要） | 9.2（クリティカル） |
116238 は、新しい版の CVSS v4.0 でだけ「クリティカル」です。
① CVE-2026-116241：pgAdminのサーバーでコマンドを実行される
pgAdmin の データのインポート・エクスポート機能（Import/Export Data） の問題です。
- クエリの結果を書き出すとき、pgAdmin は「余計な命令が紛れ込んでいないか」を確かめている
- ところが ダブルクォートの中のバックスラッシュ を使うと、このチェックをすり抜けられた
- その結果、pgAdmin を動かしている OS のアカウントの権限で、任意のコマンドが実行 される
CVE の説明によると、一般のデータベースのロールでも条件を作れ、Import/Export Data の権限は 既定で管理者以外にも与えられて います。pgAdmin にログインできる一般ユーザーが、pgAdmin のサーバーを乗っ取れる 可能性がある、ということです。
これは 7月の 9.17 で直したはずの CVE-2026-17566 を、別の方法で回避するもの です。9.19 では、ダブルクォートの中のバックスラッシュも拒否するようになりました。
② CVE-2026-116238：パスワードを無制限に試される
サーバーモードの pgAdmin は、内部アカウントで ログインに3回（既定）失敗するとロック します。この制限を回避できる問題です。
- pgAdmin が使っているライブラリ（Flask-Security）の 別のログイン画面 から試すと、失敗が数えられなかった
- ユーザー名の 大文字・小文字を変える と、数えられずロックも効かなかった
- LDAP・Kerberos などの認証と併用していると、失敗が数えられない場合があった
CVE の説明は、既定の設定で、ログインしていない攻撃者が管理者を含む内部アカウントのパスワードを無制限に試せた としています。一方で、デスクトップモードは影響を受けない と明記されています。
残り13件の中身：多くはサーバーモードの話
残りの13件は、ほとんどが 「サーバーモードで、あるユーザーが他のユーザーや pgAdmin 自身の権限を使えてしまう」 問題です。
| CVE | 中身 | CVSS v3.1 / v4.0 |
|---|---|---|
| 116239 | LDAP・Kerberos のユーザーが、同じユーザー名の別アカウント（初期の管理者を含む）でログインされる | 8.5 / 8.9 |
| 116249 | 接続設定のファイルのパスで、他のユーザーのパスワードファイルや鍵 を指せる | 8.4 / 7.2 |
| 116242 | SSH トンネルが pgAdmin のサービスアカウントの SSH 鍵 を使う | 8.2 / 7.1 |
| 116244 | サービスアカウントの Kerberos の資格情報 で接続できる | 8.2 / 7.1 |
| 116245 | サービスアカウントの接続サービス設定（パスワード入り）を使える | 8.2 / 7.1 |
| 116247 | サービスアカウントの .pgpass やクライアント証明書 で接続できる | 8.2 / 7.1 |
| 116243 | 共有ストレージに置いた 実行ファイルを pgAdmin に実行させる | 7.5 / 7.7 |
| 116250 | ファイル操作で、シンボリックリンクなどの差し替え によりストレージの外を触れる | 6.5 / 7.3 |
| 116240 | File Manager などで、確認したパスと実際に使うパスが違う | 6.5 / 7.1 |
| 116252 | マテリアライズドビューの更新で、細工したデータベース名により 接続先が変わり、保存したパスワードが送られる | 6.5 / 7.1 |
| 116246 | サーバーのパスワードが プロセスの環境変数に残り、他のユーザーが引き継ぐ | 6.5 / 7.0 |
| 116248 | 一般ユーザーが、サーバーの登録を 全ユーザーに共有 できる | 6.8 / 6.0 |
| 116251 | パスワードを変えても、他の端末のセッションが残る | 4.2 / 2.3 |
「サービスアカウント」は、サーバー上で pgAdmin を動かしている OS のアカウント のことです。ここに置いた鍵やパスワードを、pgAdmin の一般ユーザーが使えてしまう——という種類の問題が多く並んでいます。
影響を受ける人・受けにくい人
CVE の記録をもとに整理すると、次のようになります。
| 使い方 | 影響 |
|---|---|
| サーバーモード（Docker の公式コンテナ、pgadmin4-web、pip で Web として起動）を 複数人で使う | ほぼ全件が対象。最優先で更新 |
| サーバーモードを 1人だけ で使っている | ユーザー同士の問題は起きにくいが、116238 はログイン前の攻撃者が狙える。ログイン画面をインターネットに出しているなら急ぐ |
| デスクトップモード で1人で使う | 116238・116239・116240 などは 影響なしと明記。116241 などモードの記載がない件もあるため、更新はしておきたい |
特に、pgAdmin のログイン画面をインターネットに公開している VPS は、116238 の条件にそのまま当てはまります。ファイアウォールや VPN で接続元を絞る ことも合わせて見直したいところです。
VPS のファイアウォールなど、最初にやるべき設定はこちらでまとめています。
あわせて読みたい
XServer VPSのセキュリティ対策：最初にやる6つの設定【2026年版】
バージョンの確認と更新方法
① いまのバージョンを確認する
- Web 版（サーバーモード）：「Help」メニュー →「About pgAdmin 4」で、現在のバージョンとユーザー が表示されます
- デスクトップ版：「pgAdmin 4」メニュー →「About pgAdmin 4」で、バージョンとモード が表示されます
9.19 より前なら更新が必要 です。
② Dockerで動かしている場合
公式のイメージは dpage/pgadmin4 です。公式ドキュメントのとおり、タグを指定して取得します。
docker pull dpage/pgadmin4:9.19
latest や 9 のタグも 10月29日に 9.19 へ更新 されています。取得したら、新しいイメージでコンテナを作り直します。公式ドキュメントによると、/var/lib/pgadmin を名前付きボリュームにしていれば、作り直しても設定は残ります。
③ pip（Python Wheel）で入れている場合
公式は、仮想環境（venv）に pip で入れる方法 を案内しています。同じ仮想環境で、pip の通常の更新コマンドを使います。
pip install --upgrade pgadmin4
更新後は pgAdmin を起動し直します。
④ APT・RPM・Windows・macOSの場合
- APT（Debian・Ubuntu）：公式リポジトリから入れたパッケージ（pgadmin4 / pgadmin4-web / pgadmin4-desktop）を、apt で更新します
- RPM（RHEL 系など）：公式リポジトリのパッケージを、使っているパッケージ管理ツールで更新します
- Windows・macOS：公式のダウンロードページから v9.19 のインストーラー・ディスクイメージ を入れ直します
更新前に確認したい設定の変更
9.19 は守りを固めた分、サーバーモードでは動きが変わる点 があります。リリースノートの注意書きは次のとおりです。
- Password Exec Command（パスワードを外部コマンドで取り出す機能）は、自由に書いたコマンドが 実行されなくなった。管理者が SERVER_PASSEXEC_COMMANDS に許可するコマンドを登録する
- 更新後の最初の起動前に設定する。最初の起動で、登録と一致しない既存のコマンドは 消去され、元に戻せない
- SSH トンネル は、サーバー上の ~/.ssh の鍵や SSH エージェントを 使わなくなった。頼っていたトンネルには、鍵ファイルかパスワードを指定する
- 接続サービス（pg_service.conf）は、管理者が SERVER_MODE_ALLOWED_SERVICES で許可したものだけになった
- pip で入れる場合、Python 3.10 以降では Flask-Security-Too 5.8.3 以降 が必要
Password Exec Command を使っている環境は、更新の前に設定を用意する のが安全です。
IT Picks的な所感
今回の15件は、「サーバーモードの pgAdmin を、信頼できない人とも共有する」ことを前提に守りを固め直したリリース だと受け止めています。Import/Export Data のコマンド実行は、7月に直した問題の回避でした。9月の 9.18 でも4件の脆弱性が直されており、pgAdmin は毎回のリリースでセキュリティ修正が続いている 状況です。
一番の対策は「すぐ更新できる状態にしておくこと」 だと思います。Docker ならタグを固定して計画的に上げる、ログイン画面はインターネットに出さない——といった運用が効いてきます。
Web で使うソフトの更新が続く点は、WordPress のセキュリティリリースとも共通しています。
あわせて読みたい
WordPress 7.1.4で脆弱性22件、RCEの悪用を確認【2026年11月】
まとめ
pgAdmin 4 9.19 のセキュリティ修正のポイントをまとめます。
- 修正版：pgAdmin 4 9.19（2026年10月29日公開）
- 対象：9.19 より前のすべてのバージョン
- 脆弱性：15件（CVE-2026-116238〜116252）
- クリティカル：116241（OS コマンド実行、CVSS v3.1 9.9）、116238（ログイン制限の回避、CVSS v4.0 9.2）
- 影響が大きい環境：サーバーモードを複数人で使う、ログイン画面を公開している
- 悪用の報告：公式の発表・CVE の記録に 記載なし
- 更新：Docker は dpage/pgadmin4:9.19、pip は同じ仮想環境で更新、ほかは公式のパッケージ・インストーラー
- 注意：サーバーモードは SERVER_PASSEXEC_COMMANDS を最初の起動前に設定
まずは「About pgAdmin 4」で、いま動いている pgAdmin のバージョンを確かめてみてください。
ABOUT ME
IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。
