Maintainer E-Maj merilis versi 5.0.1 sebagai pembaruan keamanan. Pengumuman resmi muncul di PostgreSQL.org pada 31 Oktober 2026. Extension emaj menambah write logging dan time travel pada subset tabel PostgreSQL, bukan komponen inti server.
Rilis ini menutup kerentanan di semua versi sebelumnya yang, dalam kondisi tertentu, memungkinkan sebagian pengguna memperoleh hak superuser. Host WordPress umum berbasis MySQL atau MariaDB jarang memasang E-Maj. Alert ini menargetkan DBA dan tim aplikasi yang memang mengaktifkan extension tersebut.
Mekanisme kerentanan dan perbaikan
Changelog 5.0.1 di PGXN, yang redaksi periksa 1 November 2026, menyatakan role dengan privilege emaj_adm dapat acquire superuser rights. Perbaikan: schema emaj dan seluruh isinya kini milik role emaj_adm. Batas penting: prasyaratnya role administrasi extension, bukan exploit remote tanpa autentikasi ke cluster.
Perbaikan sekunder menyentuh penanganan error pada skrip klien emajParallelRollback.pl di fase PREPARE TRANSACTION. Sumber resmi belum mencantumkan CVE atau skor CVSS pada waktu blueprint. Jadi redaksi tidak menambahkan nomor CVE.
Kompatibilitas E-Maj PostgreSQL dan siapa wajib bertindak
E-Maj 5.0.1 kompatibel PostgreSQL 14 hingga 19. Emaj_web 5.0 kompatibel dengan extension emaj 3.0 hingga 5.0. Tim yang mendelegasikan operasi rollback harus memahami bahwa admin extension bukan superuser cluster. Namun bug ini memblur batas itu sampai tim menerapkan patch.
Selanjutnya inventaris instalasi extension di semua instance Postgres production dan staging. Catat versi dari SELECT extversion FROM pg_extension WHERE extname = 'emaj' atau prosedur internal setara sebelum upgrade.
Langkah upgrade E-Maj PostgreSQL
Backup database lengkap sebelum ALTER EXTENSION. Ikuti praktik backup database import export yang Anda sesuaikan untuk Postgres di lingkungan Anda. Jalankan upgrade extension sesuai dokumentasi E-Maj resmi di pgxn.org atau repositori GitHub maintainer.
Setelah upgrade, audit ownership schema emaj dan grant role emaj_adm. Kemudian ingat tooling developer seperti ekstensi PostgreSQL di VS Code tidak menggantikan patch server-side extension.
Installer non-superuser dan paket PGXN
Instalasi E-Maj via skrip emaj-.sql untuk non-superuser installer punya aturan ownership tabel yang ketat. Changelog 5.0.0 menambah jalur installer non-superuser. Tim delegated ops harus memastikan role emaj_adm tidak melebar ke user aplikasi biasa setelah upgrade 5.0.1. Dokumentasi lengkap dan paket instalasi tersedia di halaman distribusi PGXN e-maj 5.0.1.
Perbedaan dengan patch keamanan inti PostgreSQL: rilis ini hanya menyentuh objek schema emaj dan skrip klien terkait. Cluster tanpa baris di pg_extension untuk emaj tidak perlu tindakan. Walau tetap wajib patch Postgres core bila advisory terpisah muncul di masa depan.
Rollback parallel dan window maintenance
Window maintenance sebaiknya mencakup rollback plan bila emajParallelRollback gagal di fase PREPARE TRANSACTION. Versi 5.0.1 secara eksplisit memperbaiki error handling skrip itu. Uji rollback di staging sebelum production bila tim Anda bergantung pada parallel rollback untuk cutover besar.
Keputusan lifecycle database berbeda produk tetap terpisah dari patch E-Maj. Lantaran itu, artikel benchmark benchmark database untuk website membantu memilih engine, bukan menggantikan audit extension yang sudah terpasang.
Monitoring, Emaj_web, dan timeline rilis
Monitoring post-upgrade: pastikan tidak ada role baru dengan SUPERUSER yang muncul dari grant lama. Query audit pg_roles dan pg_auth_members setelah ALTER EXTENSION selesai. Simpan output audit sebagai bukti compliance bila tim Anda wajib melapor ke regulator internal.
Emaj_web 5.0 yang terhubung ke extension 3.x hingga 5.x perlu uji ulang setelah server-side patch. UI admin extension bisa mengekspos fungsi rollback yang bergantung pada ownership schema benar.
Maintainer menandai rilis 28 Oktober 2026 di changelog PGXN, sementara pengumuman PostgreSQL.org baru muncul 31 Oktober 2026. Selisih tanggal itu normal untuk ekosistem extension dan tidak mengubah urgensi patch.
Belum ada laporan publik eksploitasi massal di lapangan pada waktu pengumuman PostgreSQL.org. Akhirnya, ini bukan permintaan upgrade core PostgreSQL untuk semua instalasi, hanya cluster yang memasang extension E-Maj. Hosting WordPress shared biasanya tidak memuat extension ini kecuali stack custom Laravel atau SaaS Postgres.
