# CloudNativePG v1.28.3

> Storage & Data · 2026-05-08

セキュリティ対応を中心としたメンテナンスリリースで、依存関係の修正とフェイルオーバー、設定の正確性に関する修正が含まれています。監視用ロールの移行や、設定値に対するより厳格な検証も行われています。

## 要対応
- **[security · critical]** `github.com/jackc/pgx/v5`をv5.9.2へ更新
  - `github.com/jackc/pgx/v5`をv5.9.2へ更新し、`pgproto3`のメモリ安全性に関する`CVE-2026-33816`と、simple-protocolのドルクォート文字列処理を介したSQLインジェクションに関する`GHSA-j88v-2chj-qfwx`への修正を取り込みました。
- **[security · high]** Goランタイムを1.26.3へ更新
  - Go 1.26.3でビルドし、`crypto/x509`、`crypto/tls`、`net/http`、`net`に含まれる`CVE-2026-32280`、`CVE-2026-32281`、`CVE-2026-33810`、`CVE-2026-33814`、`CVE-2026-33811`、`CVE-2026-39825`への上流修正を取り込みました。
- **[security · high]** `cmd/go`のモジュールチェックサム検証を修正
  - Go 1.26.3への更新には、リリースビルド時の`cmd/go`によるモジュールチェックサム検証に関する`CVE-2026-42501`への修正も含まれています。
- **[security]** `search_path`による非修飾参照の解決
  - 非修飾参照は`search_path`を通じて解決されますが、データベースユーザーがこの設定を操作して組み込みオブジェクトを隠せる可能性がありました。

## 影響確認
- **[security · critical]** メトリクスエクスポーターの認証ロールを専用化
  - メトリクスエクスポーターを実行している場合に適用されます。
  - メトリクスエクスポーターは`postgres`スーパーユーザーで認証せず、`pg_monitor`権限だけを持つ専用の`cnpg_metrics_exporter`ロールを使うようになりました。低権限のデータベースユーザーがPostgreSQLのスーパーユーザー権限を得られる経路を塞いでいます。

## その他の記録された変更
- 10 (defect_corrected 8, added 1, value_changed 1)

[分析の詳細](https://ratatosk.io/ja/releases/cloudnativepg/v1.28.3)

[元のリリースノート](https://github.com/cloudnative-pg/cloudnative-pg/releases/tag/v1.28.3)