PostgreSQL 生态本月最要紧的一条是 Pgpool-II 的安全发布，其中包含一个认证绕过漏洞 CVE-2026-92868。
建议的升级目标版本
- 4.7.3
- 4.6.8
- 4.5.13
- 4.4.18
- 4.3.21
按你所在的版本线选择对应版本。
CVE-2026-92868 为什么算紧急
这是一个认证绕过。如果你在连接池层终止客户端的 X.509 证书，那么这个漏洞的影响会被放大——攻击者可能绕过你以为已经生效的身份验证。
连接池的位置很特殊：它站在应用和数据库之间，是所有数据库流量的必经之路。一旦这里出问题，防护几乎等于没有。
连接池长期被忽视的原因
很多团队把 Pgpool-II 或 PgBouncer 当作「基础设施里的一块砖」，配好之后几年不动，也没有纳入补丁节奏。
watchdog 类的 bug 尤其危险——它们平时安静得毫无存在感，一旦触发就是可用性事故。
本周的行动清单
第一，清点所有 Pgpool-II 和 PgBouncer 实例，记录确切版本号。这一步很多人做不完整，因为实例往往分散在多个环境。
第二，在排空窗口内升级到上述版本之一。
第三，如果你在池层终止客户端证书，把 CVE-2026-92868 当作紧急项处理。
第四，检查池层是否能从不可信网络访问。能的话今天就收紧边界。
顺带值得关注的两条
Aurora PostgreSQL 17.11+ 和 18.6+ 上线了 aurora_analytics 扩展，可以用 SQL 直接查 S3 上的 Iceberg 或 Parquet 表，也支持 Glue Data Catalog。谓词下推、列裁剪和本地缓存都做了优化，权限走原有的 PostgreSQL role 和审计日志。
Dasha 1.8 这个开源 Postgres 集群看板新增了基于 pg_stat_statements 的 B-tree 索引建议（每条都附带可直接执行的 CREATE INDEX CONCURRENTLY）、基于 pg_stat_io 的 I/O 分析页，以及向 AI 助手暴露集群诊断的 MCP 连接器。
一句话总结
连接池和数据库本身一样需要补丁节奏。把它单独漏掉，等于在架构里留了一个没人看守的正门。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。