Una explicación del fallo de confusión de tipos que lleva a la ejecución de código arbitrario y que PostgreSQL corrigió en su actualización programada de noviembre de 2026. Cubre qué ocurre, quién está afectado y cómo responder, desde el punto de vista del defensor y sin pasos de ataque.
- CVE
- CVE-2026-6460 (confusión de tipos en PostgreSQL tras ALTER ... SET DATA TYPE ejecuta código arbitrario)
- Gravedad
- CVSS v3.1 8.8 (High; vector AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H; asignado por PostgreSQL)
- Tipo
- Confusión de tipos (CWE-843). Ejecuta código arbitrario como el usuario del SO que ejecuta la base de datos
- Condición
- Se requiere autenticación. Quien crea objetos (una cuenta con pocos privilegios)
- Afectado
- PostgreSQL 14 a 18 (anteriores a las versiones corregidas siguientes)
- Corrección
- 18.7 / 17.12 / 16.16 / 15.20 / 14.25 (publicadas el 12 de noviembre de 2026)
- Misma actualización
- 52 vulnerabilidades corregidas en total. La 14.25 es la última actualización de PostgreSQL 14
- Explotación
- No se informa de ninguna. No figura en la edición del 10 de noviembre de CISA KEV
- Medida alternativa
- Ninguna enumerada
PostgreSQL 14 no recibirá más correcciones
El anuncio de PostgreSQL dice que la 14.25 es la última versión de PostgreSQL 14, que dejará de recibir correcciones de seguridad y de errores. Si usa la 14, aplique esta actualización y planifique la migración a una versión con soporte.
Qué tipo de vulnerabilidad es
El proyecto describe una confusión de tipos (CWE-843) que permite a quien crea objetos ejecutar código arbitrario como el usuario del sistema operativo que ejecuta la base de datos, principalmente mediante ALTER ... SET DATA TYPE. Dice también que existen otras vías mediante comandos de definición de datos. La causa es un seguimiento inadecuado de los valores con tipo: los valores no identificaban su propio tipo, por lo que podían aparecer valores obsoletos en entradas del diccionario de datos, variables de PL/pgSQL y otros lugares.
- La condición es que la cuenta pueda iniciar sesión en la base de datos y crear objetos. En términos de CVSS son pocos privilegios (PR:L) y ninguna interacción del usuario (UI:N).
- Este sitio no describe pasos de explotación ni qué operaciones son peligrosas.
- La corrección está en el núcleo de PostgreSQL. La página oficial no dice si hacen falta extensiones o ajustes no predeterminados.
- La evaluación de CISA (SSVC) en el registro de CVE.org es explotación: ninguna, automatizable: no, impacto técnico: total.
Alcance afectado
| Elemento | Detalle |
|---|---|
| Producto | PostgreSQL (núcleo) |
| Versiones afectadas | Anteriores a la 18.7, 17.12, 16.16, 15.20 y 14.25 |
| Corrección (18) | 18.7 |
| Corrección (17) | 17.12 |
| Corrección (16) | 16.16 |
| Corrección (15) | 15.20 |
| Corrección (14) | 14.25 (la última actualización de la 14) |
| Medidas alternativas / mitigaciones | Ninguna enumerada |
- No hace falta volcar y recargar ni pg_upgrade. El anuncio de PostgreSQL dice que basta con detener el servidor y actualizar los binarios.
- La versión 13 y las anteriores ya no tienen soporte. La página oficial enumera de la 14 a la 18 para este CVE.
Otras vulnerabilidades de la misma actualización
La versión del 12 de noviembre de 2026 (18.7, 17.12, 16.16, 15.20, 14.25) corrige 52 vulnerabilidades de seguridad y más de 140 errores. Este artículo se centra en CVE-2026-6460.
- Para la lista de las 52 y la gravedad y las versiones afectadas de cada CVE, véase la página de información de seguridad de PostgreSQL.
- La lista incluye problemas de distinto tipo: ejecución de código arbitrario, divulgación de memoria del servidor, inyección SQL y omisión de comprobaciones de privilegios. Incluye también correcciones en herramientas cliente (pg_dump, pg_restore, reindexdb y otras).
- Algunas correcciones necesitan pasos adicionales tras actualizar (reconstruir índices GIN si se sospecha corrupción y los índices pg_trgm, hacer una nueva copia completa si usa copias incrementales, comprobar las restricciones de las tablas particionadas). Siga la sección «Updating» del anuncio de la versión.
Cómo comprobar si le afecta
Compruebe la versión de PostgreSQL
Ejecute SELECT version(); para ver la versión del servidor. Están afectadas la 18 anterior a la 18.7, la 17 anterior a la 17.12, la 16 anterior a la 16.16, la 15 anterior a la 15.20 o la 14 anterior a la 14.25.
Encuentre todos los lugares donde se ejecuta
Enumere los servidores que opera, los contenedores, el PostgreSQL incluido dentro de aplicaciones y los entornos de desarrollo y prueba. Para saber cómo mantener una lista, véase la lista de comprobación del inventario de activos.
Compruebe qué cuentas pueden crear objetos
Encuentre los roles que pueden iniciar sesión en la base de datos y crear o alterar tablas y otros objetos. Compruebe si las cuentas que usan sus aplicaciones tienen más privilegios de los necesarios.
En servicios gestionados, lea el anuncio del proveedor
Si usa RDS, Cloud SQL o similares, consulte la versión de su instancia y el estado del proveedor en el anuncio del proveedor.
Qué hacer hoy
Actualice la versión menor a la versión corregida (prioridad)
Pase a la versión corregida de su línea (18.7, 17.12, 16.16, 15.20 o 14.25) o posterior. Antes de actualizar, confirme que existen copias de seguridad y que pueden restaurarse (fundamentos de las copias de seguridad). Con réplicas, fije antes el procedimiento y el orden.
Revise los pasos posteriores a la actualización
En la sección «Updating» del anuncio de la versión, compruebe cuáles le corresponden: reconstruir índices GIN si se sospecha corrupción, reconstruir índices GiST de pg_trgm y hacer una nueva copia completa si usa copias incrementales.
Restrinja los privilegios hasta que actualice
Las páginas de PostgreSQL no enumeran ninguna medida alternativa. Como añadido propio de este sitio, hasta que actualice, limite al mínimo las cuentas que pueden crear objetos y no dé a las cuentas que usan sus aplicaciones derechos de creación que no necesiten. No es una medida citada en el aviso y no sustituye a la actualización.
Confirme las actualizaciones de los servicios gestionados
Consulte el anuncio del proveedor para ver las versiones compatibles y el calendario de actualizaciones. Compruebe también si las actualizaciones menores automáticas están activadas y cuándo es la ventana de mantenimiento.
Si usa PostgreSQL 14, planifique una migración
Tras actualizar a la 14.25, planifique el paso a una versión con soporte. Fije un plazo y un responsable.
Estado de la explotación
- Las páginas de PostgreSQL no mencionan explotación.
- La evaluación de CISA (SSVC) en el registro de CVE.org es explotación: ninguna, automatizable: no, impacto técnico: total (fechada el 12 de noviembre de 2026).
- No figura en la edición del 10 de noviembre del catálogo KEV de CISA.
- No se pudo confirmar información pública sobre la escala, las técnicas ni los actores de ningún ataque.
- Varios investigadores y organizaciones notificaron el problema, y la página oficial incluye los agradecimientos.
Fuentes
- PostgreSQL — CVE-2026-6460 (descripción, versiones afectadas y corregidas, CVSS 8.8, 12 de noviembre de 2026)
- PostgreSQL — PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25, and 19 RC 2 Released! (52 correcciones, fin de vida útil de PostgreSQL 14, pasos posteriores a la actualización)
- PostgreSQL — Security Information (la lista de las 52)
- CVE.org — CVE-2026-6460 (publicado el 12 de noviembre de 2026; CWE-843, evaluación SSVC de CISA)
- CISA KEV — Known Exploited Vulnerabilities Catalog (no figura en la edición del 10 de noviembre del catálogo)
Limitar los privilegios de creación de objetos se enumera aquí por este sitio como defensa general; no es una medida alternativa indicada por PostgreSQL. Última verificación: 13 de noviembre de 2026.
Lee a continuación
- Práctica: La guía de corrección de vulnerabilidades / Lista de comprobación del inventario de activos
- Preparación: Fundamentos de las copias de seguridad
- Decidir: Priorizar con CVSS, EPSS y KEV
- Términos: Qué es la inyección SQL / ¿Qué es CVSS?