Am 12. und 13. November hat die PostgreSQL Global Development Group ihr bisher grösstes Sicherheitsupdate veröffentlicht. Alle unterstützten Versionen – 19 RC2, 18.7, 17.12, 16.16, 15.20 und 14.25 – erhielten Fixes für 52 Sicherheitslücken, dazu eine lange Liste regulärer Bugfixes. Für eine Datenbank, die im Hintergrund einen enormen Anteil der Schweizer Business-Websites, CRMs, ERPs und individuellen Webanwendungen antreibt, ist das kein Update, das man bis zum nächsten Wartungsfenster liegen lassen sollte.
Postgres steckt hinter unzähligen Rechnungssystemen, Buchungstools und Kundenportalen, die Schweizer KMU selbst betreiben oder über eine Entwicklungsfirma betreiben lassen. Viele Geschäftsinhaber kennen den Namen gar nicht, obwohl die Software unter Programmen läuft, die sie täglich nutzen. Genau deshalb betrifft dieses Update auch Unternehmen, für die «Datenbanksicherheit» bisher ein Fremdwort war.
Warum dieses Update anders ist
Von den 52 behobenen Schwachstellen tragen 32 denselben hohen CVSS-Wert von 8.8 – das heisst, der Grossteil dieses Updates fällt in die kritische Kategorie statt nur kleinere Korrekturen zu enthalten. Eine derart hohe Konzentration schwerwiegender Lücken in einem einzigen Release ist ungewöhnlich.
Die schwerwiegendste Lücke, CVE-2026-6460, soll seit 22 Jahren im Code existieren. Es handelt sich um einen Type-Confusion-Fehler, durch den jeder authentifizierte Benutzer, der Datenbankobjekte erstellen kann – nicht zwingend ein Administrator – Code direkt auf dem Server ausführen kann. In der Praxis heisst das: Ein Konto mit niedrigeren Rechten, etwa von einem externen Dienstleister, einer Drittanwendung oder einem kompromittierten Mitarbeiterlogin, könnte genügen, um bis zur vollständigen Serverübernahme zu eskalieren.
Eine zweite Lücke, CVE-2026-116322, erlaubt es einem nicht authentifizierten Client, einen Neustart von PostgreSQL-18-Servern auszulösen – eine simple Methode, um die Verfügbarkeit zu stören, ganz ohne Zugangsdaten.
Patchen allein reicht möglicherweise nicht
Das ist das Detail, das die meisten Admins übersehen werden: Der blosse Installationslauf garantiert keinen Schutz. Laut der technischen Analyse dieses Releases können C-Language-Erweiterungen, die vor dem Patch kompiliert wurden, weiterhin auf einem aktualisierten Server geladen werden, ohne die neuen Sicherheitsprüfungen zu übernehmen. Wenn Ihre Postgres-Installation benutzerdefinierte oder externe Erweiterungen nutzt – bei komplexeren CRM- oder ERP-Umgebungen keine Seltenheit – müssen diese neu gegen die gepatchte Version kompiliert werden, statt einfach unverändert weiterzulaufen.
Zudem versteckt sich eine Frist in der Ankündigung selbst: Dieses Release ist das letzte für PostgreSQL 14. Diese Version gilt nun offiziell als End-of-Life. Unternehmen, die weiterhin auf Version 14 laufen, erhalten keine weiteren Sicherheits- oder Bugfixes mehr – unabhängig davon, welche neuen Lücken künftig entdeckt werden.
Was Sie diese Woche tun sollten
- Version prüfen. Fragen Sie, wer Ihre Website-, CRM- oder ERP-Datenbank betreut, welche PostgreSQL-Version im Einsatz ist. Falls es 14.x ist, planen Sie das Upgrade sofort, nicht irgendwann.
- Update jetzt einspielen. Warten Sie nicht auf ein geplantes Wartungsfenster – 32 kritisch eingestufte Lücken in einem Release sind Grund genug, innert Tagen zu patchen.
- Erweiterungen hinterfragen. Falls Ihre Entwicklungsfirma oder Ihr Hosting-Anbieter benutzerdefinierte C-Language-Erweiterungen einsetzt, lassen Sie bestätigen, dass diese neu kompiliert und nicht einfach weiterverwendet wurden.
- Zugriffsrechte kontrollieren. Da die schwerste Lücke nur das Recht voraussetzt, Datenbankobjekte zu erstellen, prüfen Sie, welche Konten – inklusive App-Service-Konten und externe Logins – dieses Recht wirklich benötigen.
- Beim Anbieter nachfragen. Wird Ihre Datenbank von einem Drittanbieter verwaltet, fragen Sie direkt nach, ob dieses Update bereits eingespielt wurde und ob PostgreSQL 14 irgendwo in Ihrer Infrastruktur steckt.
Dieses Release reiht sich in eine lange Folge kritischer Patches diesen Monat ein – eine Erinnerung daran, dass das Aufspüren von Schwachstellen, zunehmend auch mit KI-Unterstützung auf Angreiferseite, zu einem konstanten Hintergrundprozess geworden ist statt eines Ausnahmefalls. Flitz.ai behält dieses Themenfeld im Auge und wird auch künftig die wichtigsten Fixes verständlich einordnen, sobald sie erscheinen.
Wer nicht sicher weiss, welche Systeme im eigenen Betrieb auf PostgreSQL laufen, oder die eigene Infrastruktur von jemandem prüfen lassen möchte, bevor aus kleinen Lücken echte Probleme werden: The Mejlerö Company (Flitz.ai) bietet eine kostenlose Netzwerk-Analyse und eine kostenlose 1-Stunden-Beratung für Unternehmen in Obwalden, Nidwalden, Luzern und Zürich.
Schweiz.