PostgreSQL 14.24: atualização corrige vulnerabilidades e erros que podem afetar replicação, índices e consultas

O PostgreSQL 14.24 foi lançado em 13 de agosto de 2026 como atualização de manutenção da série 14. A versão reúne correções de segurança e de funcionamento do banco de dados. Para ambientes que ainda executam a imagem postgres:14, a atualização merece prioridade: a comunidade do PostgreSQL informa que a série 14 deixará de receber correções em 12 de novembro de 2026.

Não se trata de uma nova versão principal nem exige migração lógica entre versões 14.x. Em geral, não é necessário fazer dump e restauração para atualizar de uma versão 14 anterior para a 14.24. Ainda assim, há verificações específicas após a atualização para alguns cenários, principalmente quando há decodificação lógica, uso de determinadas extensões ou réplicas físicas.

O que muda no PostgreSQL 14.24

O PostgreSQL Global Development Group informa que esta rodada de atualizações corrige 28 vulnerabilidades e mais de 110 bugs nas versões suportadas. No PostgreSQL 14.24, as notas oficiais registram correções em segurança, replicação, planejamento de consultas, índices, bibliotecas cliente e extensões.

Entre os casos corrigidos estão problemas que poderiam causar indisponibilidade, resultados incorretos em consultas e, em condições específicas, exposição de memória ou execução de código. O impacto efetivo depende da configuração, das extensões instaladas e das operações executadas no ambiente.

Segurança: por que a atualização é importante

Uma das mudanças introduz o parâmetro output_plugin_libraries. Ele limita os plugins de saída usados na decodificação lógica a uma lista permitida. Antes, um usuário de replicação poderia selecionar qualquer biblioteca carregável para esse processo. Após a atualização, apenas pgoutput e test_decoding são permitidos por padrão.

Quem utiliza um plugin adicional de decodificação lógica deve incluí-lo explicitamente na configuração depois da atualização. Sem isso, o plugin não será aceito. A documentação exemplifica uma lista com os plugins internos e um plugin adicional confiável:

output_plugin_libraries = pgoutput, test_decoding, meu_decoder_confiavel

A versão também corrige uma falha no pgcrypto relacionada à criptografia PGP quando o OpenSSL rejeita um algoritmo solicitado. Em determinadas configurações, como uso de FIPS ou ausência do provedor legado, o erro poderia não ser detectado e o resultado não teria a proteção criptográfica esperada. A correção passa a recusar, por padrão, a descriptografia de mensagens afetadas.

Para recuperar dados nesse cenário, as funções pgp_pub_decrypt() e pgp_sym_decrypt() recebem a opção ignore-cipher-failure=1. Ela existe para identificar e remover a camada defeituosa antes de uma nova criptografia com algoritmo atual. A nota oficial alerta que esse procedimento depende de o comportamento do OpenSSL ser o mesmo da época em que os dados foram gravados.

Outras correções de segurança documentadas envolvem psql, EXECUTE e FETCH, to_char(), funções de expressões regulares, busca textual, permissões de tipos, planos em cache dependentes de papéis e conexões GSSAPI com SSL. Há também ajustes em extensões como amcheck, fuzzystrmatch, pg_stat_statements, pg_trgm e refint.

Correções que podem evitar dados incorretos e bloqueios

O PostgreSQL 14.24 corrige um autodeadlock na reprodução de WAL. Segundo o projeto, a regressão foi introduzida no conjunto anterior de versões menores e podia fazer uma réplica em espera ficar travada ao seguir um servidor primário em uma versão menor mais antiga. Esse ponto é especialmente relevante para arquiteturas de alta disponibilidade que atualizam nós em momentos diferentes.

Também há correções para situações que poderiam devolver resultados incorretos. Entre elas estão:

uma leitura assíncrona mal tratada durante nova varredura de um plano Append, que podia causar resposta errada, loop infinito ou falha de asserção;
poda de partições RANGE que, em alguns casos, ignorava indevidamente a partição DEFAULT e podia omitir linhas;
otimizações incorretas de expressões valor IN (array) quando o array era vazio;
decodificação possivelmente incorreta de tuplas em varreduras somente por índice GiST e SP-GiST, com risco de dados corrompidos na saída;
uma condição de corrida no modo de isolamento SERIALIZABLE que podia deixar transações conflitantes serem confirmadas.

Na replicação lógica, a atualização corrige o tratamento de transações preparadas vazias, que podia interromper a replicação no assinante integrado. Também melhora a exibição do progresso de sincronização de tabelas e o tratamento de comandos de replicação construídos a partir de parâmetros como nomes de slots.

Índices e extensões que exigem atenção

As notas de versão indicam que alguns índices podem precisar de reconstrução após a instalação.

`btree_gist`

Se o ambiente usa btree_gist, é recomendado reconstruir índices dessa extensão em colunas float4 ou float8 que possam conter NaN. A correção ajusta comparações e funções GiST que antes poderiam produzir respostas erradas nesses valores.

A documentação também corrige buscas com operador diferente em btree_gist para tipos de tamanho variável. O problema podia produzir resultados errados e, potencialmente, falhas.

`ltree`

Índices btree sobre valores ltree com mais de aproximadamente 14.653 rótulos podem estar corrompidos, devido a um overflow em comparações. Nessa situação, a orientação oficial é reconstruir os índices afetados.

O procedimento de reconstrução indicado pelo projeto é:

REINDEX INDEX nome_do_indice;

Esse comando deve ser planejado de acordo com a política de disponibilidade do ambiente, pois a estratégia apropriada depende do índice, da carga e da versão utilizada.

Outros ajustes relevantes

A atualização inclui a base de dados de fusos horários tzdata 2026c. As mudanças registradas incluem Alberta, no Canadá, que passaria a UTC-06 durante todo o ano a partir de novembro de 2026, e Marrocos, que passaria a UTC+00 permanente em 20 de setembro de 2026.

Há ainda correções para biblioteca libpq, que evita casos em que uma aplicação aguardava dados já disponíveis no buffer de descriptografia, e passa a aceitar mensagens de descrição de parâmetros maiores que 30.000 bytes. No psql, foram corrigidos comportamentos de COPY ... FROM STDIN com falha inicial e validações relacionadas a comandos e permissões.

Como atualizar quem usa postgres:14

O primeiro passo é atualizar a imagem ou o pacote para a revisão 14.24 fornecida pelo canal de distribuição adotado pela organização. Em implantações com contêineres, não basta alterar uma tag genérica sem validar qual revisão ela disponibiliza no momento da implantação. Confirme a versão do servidor após reiniciar ou substituir o contêiner.

Para atualizações dentro da série 14, o PostgreSQL informa que não é necessário fazer dump e restauração. Porém, a implantação deve incluir uma avaliação das seguintes condições:

verificar se há plugins de saída de decodificação lógica fora de pgoutput e test_decoding e, se houver, configurar output_plugin_libraries;
identificar dados possivelmente afetados no pgcrypto quando foram usados algoritmos rejeitados pelo OpenSSL;
reindexar índices btree_gist e ltree nas condições descritas pelas notas oficiais;
validar réplicas, especialmente se houver primários e réplicas em versões menores diferentes durante a janela de atualização;
testar consultas que dependam de partições RANGE, expressões IN com arrays e planos de acesso a índices especializados.

PostgreSQL 14 entra na reta final de suporte

O PostgreSQL 14 deixará de receber correções em 12 de novembro de 2026. Portanto, instalar a 14.24 reduz os riscos conhecidos nesta última fase de suporte, mas não substitui o planejamento de migração para uma versão principal ainda suportada.

Para equipes que mantêm postgres:14 em produção, o caminho prático é tratar a atualização menor como ação de curto prazo e iniciar, em paralelo, o plano de atualização principal. Isso permite testar compatibilidade de aplicações, extensões, automações e rotinas de replicação antes do fim do ciclo da série 14.

Conclusão

O PostgreSQL 14.24 é uma atualização de segurança e estabilidade. Ela restringe plugins de decodificação lógica, corrige comportamentos que podem afetar criptografia com pgcrypto, replicação, consultas, índices e extensões, além de resolver diversas vulnerabilidades documentadas pelo projeto.

Em ambientes com postgres:14, a prioridade deve ser atualizar com validação das configurações de decodificação lógica e dos índices afetados. Como a série 14 se aproxima do fim de suporte, a atualização também deve ser acompanhada de um plano para migrar a uma versão mais nova do PostgreSQL.