El Grupo de Desarrollo Global de PostgreSQL ha lanzado actualizaciones de seguridad críticas para todas sus ramas compatibles. Estas versiones (18.4, 17.10, 16.14, 15.18 y 14.23) corrigen 11 vulnerabilidades, entre las que destacan fallos de ejecución arbitraria de código y diversas inyecciones de SQL, además de resolver más de 60 errores reportados.

El Grupo de Desarrollo Global de PostgreSQL ha lanzado actualizaciones de seguridad críticas para todas las ramas compatibles, corrigiendo 11 vulnerabilidades, incluyendo la ejecución de código arbitrario y varios fallos de inyección SQL.

Se han publicado PostgreSQL 18.4, 17.10, 16.14, 15.18 y 14.23 como actualizaciones de seguridad y mantenimiento.

Estas versiones menores solucionan 11 CVE además de más de 60 errores reportados durante los últimos meses, lo que convierte a este lanzamiento en una prioridad alta para las bases de datos de producción.

Todas las ramas compatibles desde la 14 hasta la 18 se ven afectadas por al menos algunos de los problemas, por lo que el simple hecho de ejecutar una versión mayor más reciente no elimina el riesgo.

Puedes actualizar en el sitio deteniendo PostgreSQL y actualizando los binarios; no es necesario realizar un dump/restore ni usar pg_upgrade para estas actualizaciones menores.

Vulnerabilidades de PostgreSQL

Ejecución de Código a través del Módulo refint

El CVE-2026-6637 es uno de los errores más graves, localizado en el módulo refint utilizado para hacer cumplir la integridad referencial.

Un desbordamiento de búfer de pila permite que un usuario de la base de datos sin privilegios ejecute código arbitrario con la cuenta del sistema operativo que ejecuta PostgreSQL, lo que significa un compromiso total del servidor desde un punto de acceso a nivel de base de datos.

Surge un escenario de ataque independiente cuando una aplicación expone una columna controlada por el usuario como una clave primaria de refint-cascade y permite a los usuarios actualizarla.

En este caso, una actualización de clave primaria manipulada puede provocar una inyección SQL, permitiendo al atacante ejecutar SQL arbitrario con los privilegios de la base de datos del rol que realiza la actualización.

Inyección SQL en Componentes de Replicación

Las funciones de replicación lógica contienen múltiples rutas de inyección SQL que pueden ser abusadas para la escalada de privilegios.

El CVE-2026-6476 afecta a pg_createsubscriber y permite que un atacante con derechos de pg_create_subscription inyecte SQL que se ejecuta con privilegios de superusuario cuando se invoca pg_createsubscriber.

El CVE-2026-6638 reside en ALTER SUBSCRIPTION … REFRESH PUBLICATION.

Un creador de tablas suscriptoras puede diseñar nombres de tablas que provoquen la ejecución de SQL arbitrario utilizando las credenciales del lado de la publicación, la próxima vez que se ejecute REFRESH PUBLICATION.

Según el último lanzamiento de PostgreSQL, estos fallos afectan principalmente a entornos de PostgreSQL 16–18 que utilizan replicación lógica.

Otros Problemas Críticos de Memoria y del Lado del Cliente

Varias vulnerabilidades afectan la seguridad de la memoria, la denegación de servicio y las herramientas del cliente.

El CVE-2026-6473 describe problemas de desbordamiento de enteros que causan asignaciones de memoria insuficientes y escrituras fuera de límites, lo que provoca fallos de segmentación cuando los atacantes suministran entradas manipuladas.

El CVE-2026-6477 afecta a la librería de cliente libpq al permitir el uso inseguro de PQfn en funciones auxiliares de objetos grandes como lo_export() y lo_read().

Un superusuario del servidor puede enviar respuestas excesivamente grandes que sobrescriban la memoria de la pila en herramientas de cliente como psql y pg_dump, lo que podría conducir a la ejecución de código en el lado del cliente.

Las utilidades de respaldo también están impactadas: el CVE-2026-6475 permite que pg_basebackup (formato plano) y pg_rewind sigan enlaces simbólicos y sobrescriban archivos locales arbitrarios elegidos por el superusuario de origen, como perfiles de shell.

Además, está programado que PostgreSQL 14 llegue al fin de su vida útil el 12 de noviembre de 2026, tras lo cual ya no recibirá correcciones.

Si tu organización todavía utiliza la versión 14, deberías aplicar la 14.23 ahora mismo y comenzar a planificar una migración a una rama compatible más reciente.

Dada la combinación de ejecución de código, inyección SQL, corrupción de memoria y riesgos en el lado del cliente, debes tratar estas actualizaciones como urgentes, especialmente para despliegues de PostgreSQL expuestos a internet o multi-inquilino.

Tu equipo debería priorizar la actualización a 18.4, 17.10, 16.14, 15.18 o 14.23 y revisar el uso de refint, la replicación lógica y las herramientas de cliente como parte de sus esfuerzos de endurecimiento del sistema.