pgAdmin 9.19 çıktı: 15 güvenlik açığı kapatıldı

PostgreSQL yönetim aracının yeni sürümü pgAdmin 9.19 yayımlandı. Sürüm 136 hata düzeltmesi ve yenilik içeriyor; bunların arasında CVE-2026-116238 ile CVE-2026-116252 arasındaki 15 güvenlik açığının düzeltmesi de var.

pgAdmin 9.19 ile kapanan açıklar

Açıkların çoğu server mode’u, yani pgAdmin’i birden çok kullanıcının paylaştığı web kurulumunu etkiliyor. En ağırı CVE-2026-116241. Import/Export Data aracında sorgu tabanlı bir dışa aktarma, pgAdmin sunucusunda keyfi komut çalıştırabiliyor. Bu açık, CVE-2026-17566 için yapılan düzeltmenin eksik kalmasından doğuyor. Diğerleri arasında authentication bypass (CVE-2026-116238), LDAP ve Kerberos ile başka bir hesaba giriş (CVE-2026-116239) ve kullanıcıların pgAdmin servis hesabının parola dosyasını, Kerberos kimliğini ya da SSH anahtarını devralması gibi yalıtım hataları var.

Kim etkileniyor, ne kadar ciddi

Kaynak etkilenen sürüm aralığı vermiyor. Yalnızca düzeltmelerin pgAdmin 9.19 ile geldiğini söylüyor. CVSS puanı ve exploit durumu da paylaşılmamış. Kullanıcılar arası açıklar, tek kullanıcının çalıştığı masaüstü modunda büyük ölçüde anlamsız kalıyor. Paylaşılan bir kurulumda ise risk, hesap açtığınız herkese ne kadar güvendiğinize bağlı.

Yükseltme adımları

1. pgAdmin 9.19 sürümüne geçin. Windows, macOS, Python Wheel, Docker, RPM ve DEB paketleri yayında.
2. Server mode’da Password Exec Command kullanıyorsanız ilk açılıştan önce SERVER_PASSEXEC_COMMANDS izin listesini tanımlayın. Serbest metin komutlar artık kabul edilmiyor.
3. Bağlantılarda servis adı kullanıyorsanız SERVER_MODE_ALLOWED_SERVICES listesini doldurun.
4. Paylaşılmış sunucu kayıtlarını gözden geçirin. CVE-2026-116248, sunucu kaydedebilen her kullanıcının o kaydı herkesle paylaşabilmesine yol açıyordu.
5. Şüphelendiğiniz hesapların parolasını yükseltmeden sonra değiştirin. CVE-2026-116251 düzeltmesinden önce eski oturumlar parola değişikliğinden sonra da açık kalıyordu.

CVE kayıtları: CVE-2026-116238, CVE-2026-116252, CVE-2026-116241