しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

Pgpool-IIの複数脆弱性とは？認証回避と修正版への対応を解説（2026年9月29日）

・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングPgpoolPostgreSQL脆弱性アップデートJVN

この記事のポイント: JVNは2026年9月29日、PostgreSQL接続プーリングツール「Pgpool-II」に複数の脆弱性があると発表しました。影響バージョンは3.5系から4.7.2まで。修正版は4.7.3・4.6.8・4.5.13・4.4.18・4.3.21で、認証アルゴリズムの不適切実装（CVE-2026-92872）やクライアント証明書認証の回避（CVE-2026-92868）を含みます。

Pgpool-IIの複数脆弱性とは？認証回避と修正版への対応を解説（2026年9月29日）

この脆弱性の要点（2026年9月29日公表）

JVNは2026年9月29日、Pgpool Global Development Groupが提供するPostgreSQL接続プーリングツール「Pgpool-II」に複数の脆弱性があると発表しました。影響を受ける可能性があるバージョンは、Pgpool-II 4.7.0から4.7.2まで、4.6.0から4.6.7まで、4.5.0から4.5.12まで、4.4.0から4.4.17まで、4.3.0から4.3.20まで、および3.5系から4.2系までのすべてのバージョンです（出典: JVN#22475874、2026年10月6日取得）。

脆弱性は7件あります。境界外書き込み（CVE-2026-92867・CVE-2026-92869）、不適切な証明書検証（CVE-2026-92868）、スタックベースのバッファオーバーフロー（CVE-2026-92870）、ログファイルからの情報漏えい（CVE-2026-92871）、認証アルゴリズムの不適切な実装（CVE-2026-92872）、そして任意のウォッチドッグノードがリーダーノードに昇格する問題（CVE-2026-92873）です（出典: JVN#22475874、2026年10月6日取得）。

認証アルゴリズムの不適切な実装（CVE-2026-92872）と認証回避

CVE-2026-92872は、Pgpool-IIの認証アルゴリズムにおける不適切な実装に関する脆弱性です。JVNの記載では、想定される影響としてクラスタに関する情報が漏えいする可能性があります。認証まわりの実装に不備があるため、正当な利用者以外が認証処理をすり抜ける余地が生じる恐れがあります（出典: JVN#22475874、2026年10月6日取得）。

また、CVE-2026-92868は不適切な証明書検証に関する脆弱性で、JVNでは「クライアント証明書の認証が回避される」可能性があると記載されています。クライアント証明書認証を有効にしている構成では、この脆弱性を突かれて本来認証されるべきでない接続が通る可能性があります（出典: JVN#22475874、2026年10月6日取得）。

Pgpool-IIはPostgreSQLの接続プーリングやリロード、ロードバランシングを担うミドルウェアで、データベースにアクセスする経路上に位置します。認証処理に問題があると、データベース側の認証を経由する前提で運用している構成でも保護が崩れる恐れがあります（出典: Pgpool-II公式ドキュメント、2026年10月6日取得）。

その他の脆弱性の影響

CVE-2026-92867は境界外書き込みで、JVNでは「Pgpool-IIのプロセスが異常終了したり、任意のコードを実行されたりする」可能性があると記載されています。CVE-2026-92869とCVE-2026-92870もプロセスの異常終了を招く脆弱性です。CVE-2026-92871はログファイルからの情報漏えい、CVE-2026-92873は任意のウォッチドッグノードがリーダーノードに昇格する問題です（出典: JVN#22475874、2026年10月6日取得）。

クラスタ構成で運用している場合、リーダーノードの昇格（CVE-2026-92873）やクラスタ情報の漏えい（CVE-2026-92872）は、データベース経路全体の信頼性に影響します。修正版に含まれる認証アルゴリズムの修正と、証明書検証の修正は、いずれも接続経路の保護に関わるものです（出典: JVN#22475874、2026年10月6日取得）。

システム管理者が今すぐ取るべき対策

JVNの推奨対策は「開発者が提供する情報をもとに、最新版へアップデートすること」です。修正版はPgpool-II 4.7.3、4.6.8、4.5.13、4.4.18、4.3.21の各系列で提供されています。3.5系から4.2系まではサポートが終了しており、修正版がリリースされないため、4.3系以上へアップグレードする必要があります（出典: JVN#22475874、2026年10月6日取得）。

アカウント乗っ取り・不正ログインとの関係

今回の脆弱性7件は、いずれも「パスワードを直接奪う」手口ではありません。しかし、認証アルゴリズムの不適切な実装（CVE-2026-92872）とクライアント証明書認証の回避（CVE-2026-92868）は、本来認証されるべきでない接続が通る余地を生みます。これは、正当な利用者を装った不正アクセスの入口になり得ます（出典: JVN#22475874、2026年10月6日取得）。

また、CVE-2026-92872によるクラスタ情報の漏えいは、攻撃者に内部構成を知られることにつながります。情報漏えいを踏まえた不正ログインの調査や、認証情報を変更する際の注意点は、一般的なアカウント乗っ取り対処と共通します（出典: JVN#22475874、2026年10月6日取得）。

よくある質問

Q. Pgpool-IIは今すぐ更新すべきですか？

はい。JVN#22475874は2026年9月29日に公開され、影響を受けるバージョンは3.5系から4.7.2までです。認証アルゴリズムの不適切実装を含む7件の脆弱性があり、修正版は4.7.3・4.6.8・4.5.13・4.4.18・4.3.21で提供されています。3.5系〜4.2系はサポート終了で修正版がないため、4.3系以上の修正版へアップグレードが必要です（出典: JVN#22475874、2026年10月6日取得）。

Q. 認証アルゴリズムの不適切な実装（CVE-2026-92872）とは何ですか？

Pgpool-IIの認証処理における実装上の不備に関する脆弱性です。JVNでは、想定される影響としてクラスタに関する情報が漏えいする可能性があると記載されています。CVSS v4.0では基本値6.9となっており、データベース接続経路に関わるミドルウェアの認証に問題があるため、更新が推奨されます（出典: JVN#22475874、2026年10月6日取得）。

Q. 3.5系から4.2系を使っている場合はどうすればよいですか？

3.5系から4.2系まではサポートが終了しており、修正版がリリースされません。JVNの記載では、4.3より前のバージョンを利用している場合は、4.3系以上の最新バージョンへアップグレードする必要があります（出典: JVN#22475874、2026年10月6日取得）。

Q. クライアント証明書認証を使っている場合、何を確認すべきですか？

CVE-2026-92868は不適切な証明書検証に関する脆弱性で、JVNでは「クライアント証明書の認証が回避される」可能性があると記載されています。証明書認証を有効にしている構成では、修正版への更新後に認証設定が正しく機能しているか確認してください（出典: JVN#22475874、2026年10月6日取得）。

出典と取得日

出典: JVN#22475874「Pgpool-IIにおける複数の脆弱性」（JPCERT/CC・2026年9月29日公開）2026年10月6日取得。JVN iPedia JVNDB-2026-000140。ベンダ情報: Pgpool Global Development Group「Pgpool-II 4.7.3, 4.6.8, 4.5.13, 4.4.18 and 4.3.21 officially released」（pgpool.net）2026年10月6日取得。お問い合わせは/contact/から。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針