AWSは11月3日（太平洋時間）、セキュリティ速報2026-165でBabelfish for PostgreSQLのCVE-2026-119922を公開した。不適切なアクセス制御により、認証済みの遠隔利用者が権限を昇格できる。速報の区分は注意を要する内容で、回避策は示されていない。更新が解消手段になる。
影響バージョンは1.2から1.5、2.1から2.15、3.1から3.12、4.0から4.8、5.1から5.4。修正が入ったのは4.10、5.6、6.1以降だ。フォークや派生コードにも同じ修正を取り込むよう求めている。Babelfishは、アプリケーションを書き換えずにSQL Server向けワークロードをPostgreSQL上で動かす拡張で、AWSが保守するオープンソースとして公開されている。
Aurora PostgreSQLでも自前のPostgreSQLでも、この拡張が載っていれば対象になりうる。接続元を社内網に限っていても、認証を通ったデータベース利用者が拡張に届くなら権限上昇の経路が残る。メンテナンス枠でバージョンを確認し、社内フォークは取り込んだコミットを照合する。