# CloudNativePG v1.28.3

> Storage & Data · 2026-05-08

보안 대응을 중심으로 의존성 보완과 장애 조정 및 설정 정확성 수정이 이뤄진 유지보수 릴리스입니다. 모니터링 인증 역할이 바뀌고 설정 값 검증이 엄격해졌습니다.

## 조치 필요
- **[security · critical]** `github.com/jackc/pgx/v5` 의존성 업데이트
  - `github.com/jackc/pgx/v5`를 `v5.9.2`로 올려 `pgproto3`의 메모리 안전성 문제인 `CVE-2026-33816`과 단순 프로토콜의 달러 인용 문자열 처리에서 발생하는 SQL 삽입 문제인 `GHSA-j88v-2chj-qfwx`에 대한 상위 프로젝트 수정 사항을 반영했습니다.
- **[security · high]** `Go 1.26.3` 기반 빌드
  - `crypto/x509`, `crypto/tls`, `net/http`, `net`의 상위 프로젝트 수정 사항을 반영하도록 `Go 1.26.3`으로 빌드했습니다. `CVE-2026-32280`, `CVE-2026-32281`, `CVE-2026-33810`, `CVE-2026-33814`, `CVE-2026-33811`, `CVE-2026-39825`에 대응합니다.
- **[security · high]** `cmd/go` 모듈 체크섬 검증 보완
  - `Go 1.26.3` 업데이트에 `cmd/go`의 모듈 체크섬 검증 수정 사항도 포함되어 릴리스 빌드 과정의 공급망 노출을 줄입니다. `CVE-2026-42501`에 대응합니다.
- **[security]** `search_path`를 따르는 비한정 참조 해석
  - 비한정 참조는 사용자가 조작할 수 있는 `search_path`를 따라 해석되며, 이로 인해 기본 객체를 다른 객체로 가릴 수 있습니다.

## 영향 확인
- **[security · critical]** 메트릭 익스포터 인증 역할 변경
  - 메트릭 익스포터가 실행 중인 경우 적용됩니다.
  - 메트릭 익스포터가 `postgres` 슈퍼유저로 인증하지 않고, `pg_monitor` 권한만 가진 전용 `cnpg_metrics_exporter` 역할을 사용합니다. 낮은 권한의 데이터베이스 사용자가 PostgreSQL 슈퍼유저 권한을 얻을 수 있던 경로를 차단합니다.

## 그 밖에 기록된 변경
- 10 (defect_corrected 8, added 1, value_changed 1)

[분석 자세히 보기](https://ratatosk.io/ko/releases/cloudnativepg/v1.28.3)

[원본 릴리스 노트](https://github.com/cloudnative-pg/cloudnative-pg/releases/tag/v1.28.3)