pgAdmin 4 9.19 未満（CVE-2026-116239 ほか 7 件）: サーバーモードで他人の資格情報やサービス用アカウントの鍵・パスワードを使われる（CVSS 6.5〜8.5、要ログイン）

PostgreSQL の管理ツール pgAdmin 4 の 9.19 より前の版に、サーバーモード（複数人で使う Web 版）で別のアカウントの権限や秘密情報が使われてしまう欠陥が 7 件、2026-10-30 に NVD へ登録されました（CVE-2026-116239・116242・116243・116244・116245・116246・116247）。いずれも修正版は 9.19 です。デスクトップモードは影響を受けないと、CVE の説明にあります。評価元は CNA（f86ef6dc…）で、NVD の状態は Analyzed です。

7 件の中身

CVE	内容	CVSS v3.1
CVE-2026-116239	LDAP や Kerberos で認証されたユーザーが、同じユーザー名の別の認証元のアカウント（初期設定の管理者アカウントを含む）としてログインされる	8.5
CVE-2026-116242	SSH トンネルが、pgAdmin を動かす OS アカウントの ~/.ssh の鍵・設定・ssh-agent を使う。任意のユーザーが、そのアカウントの鍵を受け入れるホストへ到達できる	8.2
CVE-2026-116244	委任されていない接続でも、pgAdmin を動かす OS アカウントの Kerberos チケットで GSSAPI 認証に応答する。任意のユーザーがそのアカウントとして接続できる	8.2
CVE-2026-116245	接続サービスファイルや PGPASSWORD・PGSERVICE に入った認証情報を、任意のユーザーが接続に使える	8.2
CVE-2026-116247	パスワードファイルやクライアント証明書が未設定のとき、OS アカウントの ~/.pgpass や証明書・秘密鍵に既定で切り替わり、任意のユーザーが保存済みのパスワードや証明書で接続できる	8.2
CVE-2026-116243	共有ストレージに置いた実行ファイルを、psql・pg_dump などのパスに指定して pgAdmin の OS アカウントで実行できる。POSIX ではファイルに実行権限が付かないため、Windows のサーバーモードなど「実行できる名前のファイルが動く環境」が前提	7.5
CVE-2026-116246	サーバーのパスワードが pgAdmin 自身の環境変数に残り、別のユーザーの後続の psql セッションやユーティリティが引き継ぐ。別のユーザーの保存済みパスワードで接続できる	6.5

共通する条件と影響

• すべて、サーバーモードで、ログイン済みのアカウントが必要です（PR:L）。攻撃の難しさは「高」（AC:H）で、リモートから実行できます（AV:N）。
• 影響の中心は、pgAdmin を動かす OS アカウントや、同じ pgAdmin を使う別のユーザーの、データベースへの接続権限や秘密情報が、別のユーザーに渡ることです。CVSS の範囲は「変更あり」（S:C）で、機密性・完全性が高く評価されています。
• CVE-2026-116239 には、LDAP・Kerberos の有効なアカウントが必要という条件があります。

severity

• 最も高いのは CVE-2026-116239 の 8.5 で、全件で認証が必要（PR:L）、難しさは高（AC:H）です。基準（認証なしかつ CVSS 9 以上が critical）に届かないため、severity は high とします。
• CISA の KEV には載っていません（確認時点）。EPSS は 11/4 時点で 0.13〜0.39%（順位は下位 2〜33%）です。

修正と対策

• 修正は 9.19 で、NVD の参照にはそれぞれの修正コミットと GitHub の課題（#10652〜#10656、#10662、#10675）があります。
• 対策として考えられること。①サーバーモードの pgAdmin 4 を 9.19 以降へ更新します。②更新までは、pgAdmin に登録するユーザーを必要最小限にし、信頼できる人だけにします（推定）。③pgAdmin を動かす OS アカウントの ~/.ssh、~/.pgpass、Kerberos の認証情報、PGPASSWORD などに、広い権限が入っていないかを点検します（推定）。④CVE-2026-116245 の修正は SERVER_MODE_ALLOWED_SERVICES（既定は空）の設定を追加するものです。接続サービスを使う運用では、許可するサービスを明示する必要があります。
• 修正で require_auth を使う部分は libpq 16 以降が必要と、CVE の説明にあります。

未確認の点

• 実際の悪用の有無、公開済みの概念実証コードの有無。
• 9.19 のリリース日と、リリースノートでの扱い（コミットや課題の中身は、本稿では読めていません）。
• 利用しているサイトの規模。
• 各 CVE の CVSS 値は CNA の評価で、NVD の独自評価かどうかは確認できていません。