Se ha revelado una vulnerabilidad en PostgreSQL, identificada como CVE-2026-6471 y apodada PostGREShell, que podría permitir a atacantes con acceso de replicación de bajo nivel ejecutar código arbitrario en los servidores de bases de datos. Este fallo en la decodificación lógica de PostgreSQL existió durante aproximadamente 12 años y ya ha sido corregido en las versiones compatibles.

PostgreSQL lanzó actualizaciones para corregir la vulnerabilidad CVE-2026-6471, que permitía a usuarios con atributos de replicación ejecutar código arbitrario en el servidor. El fallo, presente desde 2014, se soluciona mediante una nueva lista blanca de librerías permitidas llamada output_plugin_libraries. Se recomienda actualizar a las versiones más recientes y configurar manualmente los complementos externos para evitar interrupciones en el servicio.

Se ha lanzado la versión 9.16 de pgAdmin 4, la popular herramienta de gestión de PostgreSQL. Esta actualización incluye 64 correcciones de errores y resuelve siete vulnerabilidades de seguridad (desde CVE-2026-12044 hasta CVE-2026-12050), con el objetivo de reforzar la plataforma.

Drupal ha publicado la alerta SA-CORE-2026-004 sobre una vulnerabilidad de inyección SQL que afecta principalmente a sitios con PostgreSQL, permitiendo la exposición de datos y ejecución de código. Se recomienda a todas las instalaciones actualizar inmediatamente para corregir este fallo y otros riesgos en Symfony y Twig.

El Grupo de Desarrollo Global de PostgreSQL ha lanzado actualizaciones de seguridad críticas para todas sus ramas compatibles. Estas versiones (18.4, 17.10, 16.14, 15.18 y 14.23) corrigen 11 vulnerabilidades, entre las que destacan fallos de ejecución arbitraria de código y diversas inyecciones de SQL, además de resolver más de 60 errores reportados.