Producto(s) afectado(s):
| Producto | Versiones afectadas |
| PostgreSQL 18 | Anteriores a 18.7 (incluye CVE-2026-116322, exclusiva de esta rama) |
| PostgreSQL 17 | Anteriores a 17.12 |
| PostgreSQL 16 | Anteriores a 16.16 |
| PostgreSQL 15 | Anteriores a 15.20 |
| PostgreSQL 14 | Anteriores a 14.25; 14.25 es la última de la rama y, según el anuncio del 12/11, queda fuera de soporte |
| PostgreSQL 13 y anteriores | Afectados según las fichas de las CVE; ya fuera de soporte, sin parche de esta tanda |
También hay que actualizar las herramientas cliente (pg_dump, pg_restore, psql, reindexdb y vacuumdb) en cada equipo que las use, y reconstruir o actualizar las extensiones en C junto con el servidor. En servicios gestionados, consultar al proveedor.
Descripción
Se han publicado las actualizaciones menores 18.7, 17.12, 16.16, 15.20 y 14.25 de PostgreSQL, difundidas el 12/11/2026 por el Grupo Global de Desarrollo de PostgreSQL. El lote corrige 52 vulnerabilidades de seguridad y más de 140 errores. Treinta y dos de esas fallas tienen CVSS 8.8, alta, el puntaje más alto de la release; ninguna llega a 9.0 ni el fabricante las etiqueta como críticas. La actualización es acumulativa y no exige volcar ni recargar la base ni pasar por una herramienta de actualización de versión mayor: se detiene el servidor, se actualizan los binarios y se reinicia.
La más destacada es CVE-2026-6460, CVSS 8.8, alta. Una confusión de tipos, sobre todo después de cambiar el tipo de un campo y por otras rutas de definición de datos, permite a quien pueda crear objetos en la base ejecutar código con los privilegios del usuario del sistema que corre el servidor. El fabricante habla de un creador de objetos; un empaquetador indica un inicio de sesión con permiso de crear o modificar objetos. No se afirma que un rol solo con los privilegios por defecto llegue a ejecutar código. La falla está presente en las menores anteriores a las publicadas el 12/11, incluidas las ramas que ya no tienen soporte.
En el mismo lote, CVE-2026-116322, CVSS 5.3, media, permite a un cliente de red no autenticado provocar el reinicio de un servidor PostgreSQL 18. Es la única del lote que, según el índice del fabricante, no exige inicio de sesión ni acción del usuario; el efecto es una denegación de servicio, no la ejecución de código. Las versiones anteriores a la 18 no están afectadas por esta falla. CVE-2026-116314, CVSS 8.8, alta, permite que un archivo de archivo manipulado, que no sea de texto plano, haga que pg_restore ejecute código como el usuario que lo corre; hace falta que ese usuario abra o restaure el archivo. CVE-2026-116330, CVSS 8.8, alta, permite que un servidor de origen comprometido, a través de un miembro no documentado de la salida tar de pg_dump, haga que psql ejecute código; también requiere acción del usuario. El lote incluye, además, otras confusiones de tipos, uso de memoria liberada y desbordamientos en el servidor (varias en PL/Perl y PL/Tcl, si esos lenguajes están instalados) y fallas en herramientas cliente (pg_dump, reindexdb, vacuumdb). Los puntajes y el componente de cada una están en el índice de seguridad del fabricante.
El fabricante no informa explotación en ataques reales. Un investigador publicó un análisis, demostrado en la 18.6, que describe un camino hacia la ejecución de código; el material no incluye el paso final en forma de instrucciones reutilizables.
PostgreSQL 14 llega al fin de soporte con 14.25, que es su última release, según el anuncio del 12/11/2026. Conviene planear el salto a una mayor con soporte. Las versiones 13 y anteriores también están afectadas, según las fichas, y no recibieron parche de esta tanda.
La corrección de CVE-2026-6460 no termina en el servidor: hay que reconstruir o actualizar al mismo tiempo todas las extensiones escritas en C. Las compiladas contra una menor anterior pueden seguir cargando, pero puede que no estén protegidas; algunas necesitan cambios en el código fuente. El fabricante indica que no se desactiven las comprobaciones con el parámetro composite_type_mismatch, porque hacerlo conlleva riesgos de seguridad. También hay que actualizar las herramientas cliente en cada máquina que las use.
En cuanto a paquetes de distribución, Debian publicó en trixie-security postgresql-17 17.12-0+deb13u1 y en bookworm-security postgresql-15 15.20-0+deb12u1 (a esta hora no se localizó un DSA para bookworm; 15.20 es la menor corregida aguas arriba). Unstable tiene postgresql-18 18.7-1; forky (testing) sigue vulnerable a esta hora. Ubuntu tiene una ficha de la CVE, todavía en evaluación, y a esta hora no hay un aviso USN ni un paquete confirmado. No se localizó un RHSA de RHEL 8, 9 o 10 para este lote; sí hay avisos de Red Hat Hardened Images, con libpq 18.7 y postgresql17 17.12. Los repositorios RPM del proyecto publicaron el 12/11 las nuevas menores y las extensiones reconstruidas; si el servicio no lo gestiona la unidad del paquete, hay que reiniciar el servidor justo después. A esta hora no se confirmó un errata de AlmaLinux ni de Rocky Linux, ni un anuncio en el canal oficial de SUSE u openSUSE (los repositorios del proyecto sí anuncian estas menores). En servicios gestionados, consultar al proveedor y confirmar la menor instalada.
Mitigación
No hay un workaround oficial del fabricante. La corrección consiste en actualizar a 18.7, 17.12, 16.16, 15.20 o 14.25, según la versión mayor, reconstruir o actualizar las extensiones en C en el mismo momento, actualizar las herramientas cliente en todas las máquinas que las usen y completar los pasos posteriores del anuncio: reindexar cuando corresponda, tomar un respaldo completo nuevo si se usan copias incrementales, y reiniciar de inmediato si el servicio no lo gestiona la unidad del paquete.
No desactivar las comprobaciones con el parámetro composite_type_mismatch. Mientras no se pueda actualizar, un empaquetador sugiere reducir la exposición de CVE-2026-6460 restringiendo el acceso de red a orígenes de confianza y retirando el privilegio de crear objetos a las cuentas que no lo necesiten. Eso no sustituye el parche, no cubre el reinicio no autenticado de la 18 ni las fallas de las herramientas cliente, y puede afectar aplicaciones que crean objetos de forma dinámica; no es un consejo del fabricante.
Quienes corran PostgreSQL 14 deben aplicar 14.25 y planear el salto a una mayor con soporte. Quienes estén en la 13 o anterior no tienen parche de esta tanda. En servicios gestionados, consultar al proveedor.
Estas medidas no sustituyen la actualización. El parche no deshace un compromiso previo.
Detección
El fabricante no publicó indicadores de compromiso.
Solución
La solución consiste en actualizar PostgreSQL a 18.7, 17.12, 16.16, 15.20 o 14.25, según la versión mayor, o al paquete parcheado de la distribución cuando exista. Hay que reconstruir o actualizar al mismo tiempo las extensiones en lenguaje C, y actualizar las herramientas cliente (pg_dump, pg_restore, psql, reindexdb y vacuumdb) en cada equipo que las utilice. Tras la actualización, seguir los pasos de reindexado del anuncio y, si se usan copias incrementales, tomar un respaldo completo nuevo y basar en él los incrementales posteriores. En PostgreSQL 14, tratar 14.25 como última corrección de esa rama y planear el cambio a una versión con soporte.
| Producto / rama | Corrección |
| PostgreSQL 18 | 18.7 o posterior |
| PostgreSQL 17 | 17.12 o posterior |
| PostgreSQL 16 | 16.16 o posterior |
| PostgreSQL 15 | 15.20 o posterior |
| PostgreSQL 14 | 14.25 (última de la rama) |
| PostgreSQL 13 y anteriores | Sin parche de esta tanda; migrar a una mayor con soporte |
| Debian trixie | postgresql-17 17.12-0+deb13u1 (repositorio de seguridad) |
| Debian bookworm | postgresql-15 15.20-0+deb12u1 (repositorio de seguridad) |
| Debian unstable | postgresql-18 18.7-1 |
| Ubuntu | A esta hora no hay USN ni paquete confirmado |
| RHEL 8, 9 y 10 | A esta hora no se localizó un RHSA de este lote |
| Red Hat Hardened Images | libpq 18.7 (RHSA-2026:99821) y postgresql17 17.12 (RHSA-2026:100114) |
| Repositorios RPM del proyecto | Menores y extensiones publicadas el 12/11/2026 |
Para info sobre cómo actualizar, visita el siguiente enlace:
https://www.postgresql.org/about/news/postgresql-187-1712-1616-1520-1425-and-19-rc-2-released-3442/
Información adicional:
- PostgreSQL — anuncio de 18.7, 17.12, 16.16, 15.20 y 14.25:
https://www.postgresql.org/about/news/postgresql-187-1712-1616-1520-1425-and-19-rc-2-released-3442/ - PostgreSQL — índice de seguridad:
https://www.postgresql.org/support/security/ - PostgreSQL — CVE-2026-6460:
https://www.postgresql.org/support/security/CVE-2026-6460/ - PostgreSQL — CVE-2026-116322:
https://www.postgresql.org/support/security/CVE-2026-116322/ - PostgreSQL — CVE-2026-116314:
https://www.postgresql.org/support/security/CVE-2026-116314/ - PostgreSQL — CVE-2026-116330:
https://www.postgresql.org/support/security/CVE-2026-116330/ - PostgreSQL — notas de la release 18.7:
https://www.postgresql.org/docs/current/release-18-7.html - PostgreSQL — política de versionado:
https://www.postgresql.org/support/versioning/ - PostgreSQL — descargas:
https://www.postgresql.org/download/ - Debian — rastreador de CVE-2026-6460:
https://security-tracker.debian.org/tracker/CVE-2026-6460 - Debian — DSA-6625-1 (trixie, postgresql-17):
https://www.debian.org/security/2026/dsa-6625 - Ubuntu — ficha de CVE-2026-6460:
https://ubuntu.com/security/CVE-2026-6460 - Red Hat — CVE-2026-6460:
https://access.redhat.com/security/cve/cve-2026-6460 - Red Hat — RHSA-2026:99821 (Hardened Images, libpq 18.7):
https://access.redhat.com/errata/RHSA-2026:99821 - Red Hat — RHSA-2026:100114 (Hardened Images, postgresql17 17.12):
https://access.redhat.com/errata/RHSA-2026:100114 - PostgreSQL — nota de empaquetado RPM del proyecto (12/11/2026):
https://people.planetpostgresql.org/devrim/ - Análisis técnico público sobre CVE-2026-6460 (fuente secundaria; no reproducir):
https://mehmetince.net/part-3-6-how-i-ended-up-turning-a-22-year-old-postgresql-type-confusion-primitive-into-rce-cve-2026-6460/