PostgreSQL corrige 52 fallas, entre ellas una de 22 años que permite ejecutar código en el servidor

La más seria, CVE-2026-6460, tiene una puntuación CVSS de 8.8 y afecta a todas las versiones anteriores a 18.7, 17.12, 16.16, 15.20 y 14.25. Hay que recompilar las extensiones en C.

El proyecto PostgreSQL corrigió 52 fallas de seguridad, entre ellas una que permite ejecutar código en el servidor a un usuario con permiso para crear objetos, informó The Hacker News el 13 de noviembre de 2026. La falla, CVE-2026-6460, tiene una puntuación CVSS de 8.8 y afecta a todas las versiones anteriores a 18.7, 17.12, 16.16, 15.20 y 14.25.

El código ejecutado así tiene los permisos del usuario del sistema operativo que corre PostgreSQL. El PostgreSQL Global Development Group no ha reportado ataques que usen la falla, y la evaluación de CISA en el registro del CVE tampoco lista explotación. El investigador Mehmet Ince publicó esta semana un análisis técnico con un exploit funcional probado en PostgreSQL 18.6 y rastreó el origen del error al 5 de mayo de 2004, cuando la base de datos ganó la capacidad de cambiar el tipo de una columna.

Ince adaptó el exploit para servicios administrados y en agosto compartió pruebas de concepto con AWS (Aurora y RDS), Microsoft (Azure PostgreSQL), Google (AlloyDB), Supabase, Databricks y Ubicloud. Su análisis no dice en qué estado de parcheo está cada servicio.

El proyecto califica 32 de las 52 fallas con 8.8, la puntuación más alta de la versión. Solo una falla del servidor, CVE-2026-116322, no requiere inicio de sesión ni acción del usuario, y permite reiniciar servidores PostgreSQL 18. Otras correcciones están en herramientas cliente como pg_restore y psql. Para quedar protegido, además de actualizar el servidor hay que recompilar o actualizar al mismo tiempo cada extensión escrita en C.

Fuente: The Hacker News: «PostgreSQL Patches 52 Flaws, Including 22-Year-Old Bug Enabling Authenticated RCE», 13 de noviembre de 2026.