Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 3 novembre 2026 un avis de sécurité sur le pilote ODBC de PostgreSQL. Le document recense onze références CVE et identifie des risques d’injection SQL, de contournement de la politique de sécurité et d’autres défauts dont la nature n’est pas précisée par l’éditeur.
Le pilote ODBC, et non l’ensemble du serveur PostgreSQL
L’avis CERTFR-2026-AVI-1445 désigne précisément les versions de PostgreSQL ODBC antérieures à 18.00.0006. Ce composant permet à des applications d’accéder aux bases de données au moyen de l’interface ODBC. La portée du bulletin doit donc être appréciée à partir des pilotes réellement installés et utilisés, et non à partir du seul numéro de version du serveur de base de données.
Les onze identifiants répertoriés vont de CVE-2026-120057 à CVE-2026-120067. Le CERT-FR mentionne plusieurs catégories de risques, mais son avis ne décrit ni exploitation active ni compromission d’une organisation française. La présence d’un composant vulnérable et les conditions permettant d’exploiter chaque défaut doivent être examinées séparément.
Une version corrective publiée le 2 novembre
Le projet PostgreSQL a annoncé le 2 novembre la publication de psqlODBC 18.00.0006 pour corriger plusieurs problèmes de sécurité. Le CERT-FR renvoie également au journal des modifications du pilote pour le détail technique.
Pour les responsables de la sécurité des systèmes d’information, la première vérification porte sur l’inventaire des postes, serveurs et applications qui embarquent ou chargent ce pilote. Le contrôle des versions et la planification des mises à jour doivent tenir compte des dépendances applicatives et des procédures de qualification propres à chaque environnement.
La distinction entre le moteur PostgreSQL et son connecteur ODBC est déterminante : le bulletin du 3 novembre concerne le second. Le CERT-FR recommande de se reporter aux informations de l’éditeur pour obtenir les correctifs adaptés.
