PostgreSQL 博览 2026-05-19 RSS 订阅

pgBackRest 官方宣布项目将继续维护：过去几周形成了由 AWS、Supabase、pgEdge 等组成的赞助联盟，不再依赖单一赞助方。备份工具的维护是否可持续，直接影响恢复演练、合规审计和灾备设计，此前资金与维护者时间的不确定性让依赖它的自建集群和商业平台都在承压。使用 pgBackRest 的团队短期内不必仓促迁移，但仍应保留替代恢复方案，并关注后续路线图、发布节奏与漏洞响应。

Percona 宣布硬分叉 Crunchy 的 PostgreSQL operator，做一个镜像可自由再分发、治理开放、功能不设付费墙的替代品，并保持与现有 Crunchy 部署兼容，可以通过备用集群提升或备份恢复迁移过去。背景是开源分发在收紧：MinIO 4 月归档了开源代码库，Bitnami 把生产镜像挪进付费订阅，Crunchy 的 operator 镜像现在需要认证并限制再分发，离线部署和 GitOps 流程因此受影响。

PostgreSQL 19 可以在线修改 wal_level，不再需要重启实例。此前要启用逻辑复制必须在计划停机窗口里切换 WAL 级别，不少组织为了免去协调重启的麻烦，干脆长期以更高的 WAL 开销运行。改动之后转向逻辑解码不再牵扯重启，WAL 级别可以按实际的复制需要调整。对准备启用逻辑复制、做迁移或 CDC 的团队，这项变化把一次跨团队的停机协调降级成一次参数变更。

EnterpriseDB 的案例文章记录一家大型跨国银行把 PostgreSQL 运维从虚拟机迁到 Kubernetes 原生架构的过程。迁移不只是换个承载方式，还要按编排能力重新设计日常运维流程，同时守住银行环境要求的可靠性与安全标准。文章从操作流程、扩缩策略和容器化环境下的数据库性能几个方面给出经验，对正在评估同类转型的 DBA 团队有参考价值，也和当天的 operator 选型讨论互为背景。

AWS 披露 CVE-2026-8838：Amazon Redshift 的 Python 驱动在 2.1.13 及更早版本存在代码注入，恶意的服务端或中间人可以在客户端执行代码。NVD 指出问题出在 vector_in() 对服务端数据使用了 Python eval()，CVSS 3.1 评分 9.8。驱动常被 ETL、BI、notebook 和 CI 任务反复复用，应立刻盘点依赖版本、升级到 2.1.14 并轮换相关凭据。

SafeDep 报告 Mini Shai-Hulud 供应链攻击再度发作，314 个 npm 包被投毒，Cybernews 给出的统计是 323 个包、639 个版本。这类自传播式污染攻击的是开发者生态的信任链，上周的 TanStack 事件已经显示，AI SDK 与前端工具链的包生态是窃取凭据、在 CI 里横向移动的高价值目标。应锁定依赖版本，检查近期安装日志，轮换 GitHub、npm 与云上的密钥。