PostgreSQL publica parches para 52 vulnerabilidades y más de 140 errores

PostgreSQL distribuyó actualizaciones para sus ramas 18, 17, 16, 15 y 14, además de una segunda versión candidata de PostgreSQL 19, después de reportar 52 vulnerabilidades y más de 140 correcciones de errores. Algunas fallas alcanzan una puntuación CVSS de 8,8 y la versión 15.20 marca el cierre de esa rama.

***

• Las actualizaciones PostgreSQL 18.7, 17.12, 16.16, 15.20 y 14.25 corrigen vulnerabilidades; PostgreSQL 19 RC2 también incorpora cambios.
• El reporte enumera 52 fallas, varias con puntuación CVSS de 8,8, relacionadas con ejecución de código, consultas, replicación y herramientas auxiliares.
• La versión 15.20 es la actualización final de PostgreSQL 15, mientras que el proyecto corrige más de 140 errores y se acerca al lanzamiento estable de PostgreSQL 19.

PostgreSQL publicó un paquete amplio de actualizaciones para atender 52 vulnerabilidades de seguridad y más de 140 errores corregidos. Las nuevas versiones abarcan PostgreSQL 18.7, 17.12, 16.16, 15.20 y 14.25, junto con la segunda candidata de lanzamiento de PostgreSQL 19, conocida como RC2.

El reporte de Phoronix destaca que varias de las vulnerabilidades alcanzan una puntuación CVSS de 8,8, dentro de los niveles más altos entre los problemas detallados. La actualización también tiene un significado especial para quienes mantienen instalaciones antiguas: PostgreSQL 15.20 será la versión final de esa rama.

Una ronda amplia de actualizaciones de seguridad

Las versiones anunciadas reúnen parches para distintas generaciones del sistema de gestión de bases de datos, por lo que la publicación no se limita a quienes ya usan la serie más reciente. PostgreSQL incluyó las ramas 18, 17, 16, 15 y 14, además del segundo candidato de PostgreSQL 19, con cambios de seguridad y correcciones de errores en un mismo ciclo.

Las vulnerabilidades abarcan distintas partes del producto, desde operaciones SQL y funciones de extensiones hasta utilidades de respaldo, replicación y mantenimiento. Entre los problemas iniciales descritos aparecen CVE-2026-6460, una confusión de tipos tras ALTER … SET DATA TYPE que puede ejecutar código arbitrario, con CVSS 8,8, y CVE-2026-6467, sobre el manejo del esquema de scripts de extensiones y ejecución de SQL arbitrario, con 7,2.

También figuran CVE-2026-14661, que permite que dblink y las suscripciones agreguen datos a archivos arbitrarios, con puntuación 8,1, y CVE-2026-16237, que afecta INSERT … ON CONFLICT frente a la condición WHERE de una vista autoactualizable, con 5,4. La lista añade CVE-2026-16240, donde pg_basebackup puede tratar el contenido del manifiesto de respaldo como una cadena de formato; su puntuación es 3,7.

Otros casos destacados incluyen CVE-2026-18447, una confusión de tipos de parámetros de salida capaz de ejecutar código arbitrario, con 8,8, y CVE-2026-116303, que involucra conversiones de claves foráneas y JSON que omiten el privilegio EXECUTE en funciones de cast, con 3,1. CVE-2026-116304 describe un uso después de liberar el typmod RECORD en paralelo, y CVE-2026-116306 un cambio de tipo compuesto durante la asignación de campos; ambas fallas tienen 8,8 y pueden ejecutar código arbitrario.

Fallos en funciones, permisos y herramientas

Varias vulnerabilidades se relacionan con plperl y pltcl, lenguajes procedurales que PostgreSQL puede usar para funciones dentro de la base de datos. El reporte asigna 8,8 a CVE-2026-116307, por uso después de liberar consultas preparadas en plperl; a CVE-2026-116309, por confusión de tipos de referencias blessed en plperl; a CVE-2026-116319, por return_next() reentrante; y a CVE-2026-116320, por conversiones de arrays y hashes en plperl.

La misma puntuación de 8,8 corresponde a CVE-2026-116323, un uso después de liberar durante la conversión reentrante de resultados en pltcl, y a CVE-2026-116326, donde excepciones de objetos tied en plperl siguen un sigjmp_buf obsoleto. En contraste, CVE-2026-116308 describe que dict_int lee más allá de tokens de longitud cero, con una puntuación de 4,3, mientras CVE-2026-116310 señala que el contexto de error de COPY usa almacenamiento de campos ya liberado, también con 4,3.

Los controles de acceso y las operaciones administrativas aparecen en otros hallazgos. CVE-2026-116311 indica que DROP OWNED puede eliminar políticas restrictivas de seguridad por filas de tablas que no pertenecen al usuario, y CVE-2026-116312 que MERGE puede colocar una fila incorrecta en una tabla de transición de triggers; ambas reciben 5,4. CVE-2026-116313 afecta vacuumdb –missing-stats-only, que puede permitir a un propietario de base de datos ejecutar código como el usuario vacuumdb, con CVSS 7,2.

Las herramientas de respaldo y reconstrucción también concentran riesgos: CVE-2026-116314 asigna 8,8 a pg_restore por ejecución de código arbitrario ante la falta de validación de archivos no planos. CVE-2026-116325, con puntuación 8,0, señala que el entrecomillado de nombres de índices en reindexdb permite inyección SQL, y CVE-2026-116318, con 8,8, vincula el nombre de una restricción not-null en pg_dump con inyección SQL.

La lista incluye además CVE-2026-116316, donde operaciones con seguridad restringida pueden crear tipos en pg_temp que consultas posteriores de la sesión encuentran, con 8,8, y CVE-2026-116327, que permite que el análisis security_barrier exponga valores ocultos mediante expresiones indirectas, con 4,3. CVE-2026-116321, una divulgación de memoria del servidor por un valor de nombre sin terminar, recibe 4,3; CVE-2026-116322, una solicitud de cancelación previa a la autenticación que puede filtrar un spinlock, tiene 5,3.

Memoria, ejecución de consultas y replicación

Una parte sustancial de las fallas reportadas involucra errores de memoria o de tipos que, según sus descripciones, pueden conducir a ejecución de código arbitrario. CVE-2026-116328 identifica un desbordamiento entero en el contexto de memoria Generation y CVE-2026-116329 una confusión de tipos durante la importación de estadísticas; ambas tienen puntuación CVSS 8,8.

En la misma categoría aparecen CVE-2026-116315, un desbordamiento de búfer de montón en tsvector_delete(), y CVE-2026-116317, otro desbordamiento de búfer de montón en ts_rank_cd() que puede ejecutar código arbitrario. El reporte también asigna 8,8 a CVE-2026-116330, que afecta el archivo restore.sql en formato tar de pg_dump por no bloquear la inyección de comandos psql, y a CVE-2026-116331, una confusión de tipos en agregados min/max.

Otros defectos con CVSS 8,8 afectan la configuración de portales, los resultados de funciones y la gestión de cursores. CVE-2026-116332 describe un uso después de liberar durante la configuración de portales, mientras CVE-2026-120141 afecta funciones materializadas que retornan conjuntos y CVE-2026-120142 involucra confusión de tipos de columnas eliminadas; CVE-2026-120143 señala un uso después de liberar de cursores en tablas de transición.

La caché de tipos, la replicación lógica y las operaciones con índices también figuran en el reporte. CVE-2026-120144, con 8,8, describe una brecha de invalidación en la caché de tipos, y CVE-2026-120145 indica que la replicación lógica puede escribir en catálogos del sistema del suscriptor y ejecutar código arbitrario, también con 8,8. CVE-2026-116336, igualmente con 8,8, señala que REINDEX CONCURRENTLY no bloquea DROP INDEX durante las funciones de índice.

La enumeración agrega CVE-2026-116333, donde el escaneo paralelo de arrays en B-tree lee más allá de los límites del array, con puntuación 6,5, y CVE-2026-116335, una confusión de tipos de resultado de conmutadores o negadores que puede ejecutar código arbitrario, con 8,8. CVE-2026-120139 describe un desbordamiento entero del tamaño de tuplas con ejecución de código arbitrario, mientras CVE-2026-120150 y CVE-2026-120151 cubren, respectivamente, un uso después de liberar en la comprobación de dominios de registros expandidos y una confusión de tipos de campos de records en plpgsql; las tres reciben 8,8.

El reporte identifica también CVE-2026-120147, un uso después de liberar durante una desconexión reentrante en dblink, con 8,8, y CVE-2026-120148, una confusión de pseudo-tipos en estadísticas extendidas, con 8,1. CVE-2026-120149 atribuye una puntuación de 8,8 a una discrepancia en inserciones por lotes de FDW que puede ejecutar código arbitrario, mientras CVE-2026-120152 describe una divulgación de memoria por uso después de liberar en pg_show_all_settings(), con 4,3.

El conjunto se completa con fallas relacionadas con restricciones y políticas de seguridad. CVE-2026-120146 señala que REASSIGN OWNED omite comprobaciones de SET y CREATEDB de roles, con 4,3; CVE-2026-120153, con 7,2, describe inyección SQL por sustituciones de scripts de extensiones mediante nombres de objetos. CVE-2026-120154 indica que INSERT … ON CONFLICT puede leer filas pese a las políticas de seguridad por filas, con puntuación 4,3.

La carga de reportes y el próximo lanzamiento

Phoronix atribuye parte de la presión sobre los desarrolladores a un aumento de reportes de errores y hallazgos de seguridad impulsados por herramientas de inteligencia artificial y modelos de lenguaje. El medio señala que esa carga también contribuyó a retrasar varias semanas PostgreSQL 19, aunque la fuente no detalla cuántos reportes se recibieron ni qué proporción de las 52 vulnerabilidades se detectó con ayuda de IA.

La publicación de correcciones no implica por sí misma que cada instalación haya sufrido un ataque, y la información proporcionada no reporta explotación de estas fallas. Sí deja claro que el proyecto distribuyó versiones para resolver los problemas divulgados, por lo que administradores y equipos técnicos deberán identificar qué rama utilizan y revisar las notas de actualización correspondientes antes de planificar sus cambios.

Además de los parches de seguridad, las versiones incorporan más de 140 correcciones de errores conocidos. La segunda candidata de PostgreSQL 19 reúne esas correcciones y otros arreglos de último minuto, de modo que el ciclo de mantenimiento sirve tanto para atender vulnerabilidades como para avanzar en la preparación de la próxima versión principal.

La fuente indica que PostgreSQL 19.0 estable se acerca finalmente a su lanzamiento, pero no proporciona una fecha concreta para esa publicación. Mientras tanto, PostgreSQL 15.20 marca el fin de vida de la rama 15, un dato relevante para quienes todavía dependen de ella y deben considerar su siguiente paso de mantenimiento sin confundir esta actualización final con una nueva etapa de soporte.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín