El PostgreSQL Global Development Group ha lanzado parches que corrigen 52 vulnerabilidades en el servidor y herramientas asociadas. La más destacada es una vulnerabilidad de confusión de tipos que, según los reportes, permite a un usuario con permisos para crear objetos ejecutar código con los derechos del proceso del sistema que ejecuta PostgreSQL.
Qué es la vulnerabilidad CVE-2026-6460 y cómo funciona
La falla, rastreada como CVE-2026-6460 y con una puntuación CVSS elevada (8.8), afecta al manejo de tipos compuestos en la base de datos. Los tipos compuestos son estructuras con campos nombrados, cada uno con su propio tipo de dato. El problema surge cuando el tipo de un campo se modifica mientras aún existen valores antiguos de ese tipo en otras partes del sistema; el servidor puede llegar a interpretar un valor antiguo como si tuviera el nuevo tipo, lo que provoca una condición de confusión de tipos.
El proyecto ha aplicado comprobaciones de versión en el código para detectar que un valor almacenado ya no coincide con el tipo esperado y así evitar la lectura errónea que permitía el ataque.
Alcance, explotación y pruebas públicas
Investigadores de seguridad publicaron una demostración de la explotación en PostgreSQL 18.6. El procedimiento descrito consiste en preparar una consulta que retiene un valor, cambiar el tipo de uno de los campos de ese valor y ejecutar la consulta para provocar primero un fallo y, en pasos siguientes, filtrar direcciones de memoria. El documento no incluye el SQL final que ejecutaría un comando en el servidor, pero demuestra el camino técnico para llegar hasta ahí.
Los autores del informe señalan que lograron provocar el fallo con una cuenta de bajo privilegio, y las evaluaciones públicas (incluyendo la entrada CVE) indican que no hay evidencia conocida de explotación masiva hasta la fecha. No obstante, la técnica podría permitir ejecución de código con los mismos privilegios del proceso de PostgreSQL si se completa el ataque.
Versiones afectadas y medidas necesarias
Según la nota oficial, están afectadas versiones anteriores a 18.7, 17.12, 16.16, 15.20 y 14.25; las actualizaciones publicadas corrigen este y otros fallos. Además, la mitigación completa exige reconstruir cualquier extensión en C que esté instalada en el servidor, porque las extensiones compiladas pueden incluir código que interactúe con estructuras internas y quedar expuestas tras el cambio en el manejo de tipos.
El proyecto acredita a más de una docena de reportantes por CVE-2026-6460 y por otras fallas incluidas en el mismo paquete de parches. También se solucionan problemas en herramientas cliente: por ejemplo, vectores que permitirían que pg_restore o psql ejecuten código en el contexto del usuario que las ejecute a partir de archivos o servidores maliciosos.
Qué deben hacer administradores y dueños de sitios
- Actualizar PostgreSQL a las versiones parcheadas cuanto antes para recibir la corrección que evita la confusión de tipos.
- Recompilar y reinstalar cualquier extensión en C usada por la instancia, para asegurar que las librerías compartidas sean compatibles con las comprobaciones añadidas.
- Revisar y restringir cuentas de base de datos: limitar quién puede crear o modificar objetos en esquemas, concediendo el menor privilegio necesario.
- Inspeccionar procedimientos de importación y recuperación de datos (pg_restore, pg_dump) y tratar con cautela archivos de fuentes no fiables o compartidos por terceros.
- En entornos gestionados (servicios en la nube o bases de datos administradas), verificar con el proveedor el estado del parche y confirmar si las extensiones se han reconstruido por ellos o requieren intervención del cliente.
La nota del proyecto y las pruebas técnicas permiten entender el vector y su complejidad: aunque no se ha reportado explotación activa generalizada, la combinación de un exploit público y cuentas con permiso para crear objetos hace que la actualización y la revisión de extensiones sea prioritaria para reducir el riesgo.
Lee también:
- Investigación DNS conecta dominios y 95 IPs a campaña de espionaje Earth Sirrush contra objetivos ucranianos
- Debate sobre la API de secretos de WordPress 7.2: hosts piden pruebas antes de RC1
Fuente: The Hacker News
