PostgreSQL 19 Beta 4 e patches críticos de segurança saem juntos

O PostgreSQL Global Development Group lançou em 24 de setembro de 2026 o PostgreSQL 19 Beta 4 e atualizações de segurança para todas as versões suportadas — 18.6, 17.11, 16.15, 15.19 e 14.24. As releases corrigem múltiplas CVEs, entre elas CVE-2026-14664 (heap buffer overflow em Regexp, CVSS 8.8) e CVE-2026-16239 (buffer overrun em to_char). Quem roda Postgres em produção — direto ou via Supabase — precisa planejar a atualização agora.

O que foi corrigido e por que o CVSS 8.8 importa

A CVE-2026-14664 envolve heap buffer overflow na engine de expressões regulares do Postgres. Com CVSS 8.8, a vulnerabilidade está na faixa "alto" e pode ser explorada por um usuário autenticado para execução de código arbitrário — risco direto em ambientes multi-tenant onde diferentes clientes compartilham a mesma instância. A CVE-2026-16239 afeta a função to_char, usada com frequência em formatação de datas e números em relatórios e exports.

• CVE-2026-14664 — heap buffer overflow em Regexp; CVSS 8.8; risco de execução arbitrária de código por usuário autenticado.
• CVE-2026-16239 — buffer overrun em to_char; afeta queries de formatação de data e número.
• Versões impactadas: 14.x, 15.x, 16.x, 17.x e 18.x — todas com release correspondente no patch de setembro.

PostgreSQL 19 Beta 4: o que muda na versão principal

O Beta 4 do PostgreSQL 19 segue o ciclo normal de estabilização antes da release final, prevista para o final de 2026. Betas não são recomendados para produção, mas são a janela de testes para equipes que querem validar compatibilidade de schemas, extensions e queries antes do upgrade definitivo. A recomendação do grupo de desenvolvimento é rodar o beta em ambiente de staging com dump real de produção para capturar incompatibilidades com antecedência.

Para Supabase users, a plataforma normalmente adota versões major do Postgres alguns meses após a release final. Testar o Beta 4 localmente com docker pull postgres:19beta4 já permite identificar queries que precisam de ajuste antes da janela de migração forçada.

Como aplicar o patch sem downtime perceptível

Em setembro de 2026, a maioria dos provedores gerenciados (Supabase, Render, Neon) disponibiliza o patch como atualização de minor version sem breaking change. O procedimento padrão é:

1. Confirmar a versão atual com SELECT version(); na instância de produção.
2. Verificar se o provedor já disponibilizou a versão patchada no painel de controle.
3. Para self-hosted: fazer pg_dump completo antes de iniciar o upgrade de binário.
4. Após upgrade, rodar SELECT * FROM pg_stat_activity; e validar queries ativas.
5. Testar especificamente queries que usam to_char e expressões regulares — as duas áreas afetadas pelas CVEs.

Minor version upgrades no Postgres (14.23 → 14.24, por exemplo) não exigem pg_upgrade — basta substituir o binário e reiniciar o serviço. O risco de regressão é baixo, mas o risco de não atualizar com CVEs de CVSS 8.8 abertas é consideravelmente maior.

Para quem planeja a migração para PostgreSQL 17 ou quer entender o impacto de versões sem suporte ativo, o guia Upgrade do PostgreSQL 14 para 17: checklist completo cobre o processo de pg_upgrade passo a passo.