PostgreSQL parchea 52 vulnerabilidades y deja a la versión 14 sin soporte
PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25, and 19 RC 2 Released
El PostgreSQL Global Development Group publicó actualizaciones para 18.7, 17.12, 16.16, 15.20 y 14.25, junto con el segundo release candidate de PostgreSQL 19. La entrega corrige 52 vulnerabilidades de seguridad y más de 140 bugs, e incluye varios fallos de corrupción de índices GIN, pg_trgm y backups incrementales que obligan a reindexar o a tomar un backup completo nuevo. Además, esta es la última versión de PostgreSQL 14, que queda oficialmente end-of-life.
Esta es la versión final de PostgreSQL 14. PostgreSQL 14 ahora está end-of-life y ya no recibirá correcciones de seguridad ni de errores.
- ianberdin
Ver todos estos parches de seguridad me recordó a cuando era niño y limpiaba mi apartamento a fondo, quitaba cada mota de polvo de cada rincón, y luego, un par de días después, todo volvía a estar igual. Y pensé: ¿de verdad voy a estar haciendo esto toda mi vida?
- firer
Todos estos parecen ser post-autenticación, excepto CVE-2026-116322 (que no otorga ejecución de código, "solo" un DoS).
Hace aproximadamente un año encontré y exploté CVE-2026-2004, que también es un RCE post-autenticación de Postgres, como parte de la competición zeroday.cloud de Wiz.
Elegí ese objetivo porque de inmediato destacó por ser altamente complejo y con mucha entrada de usuario. En mi opinión, es una mala idea definir esto como un límite de seguridad desde el principio. El acceso a una base de datos muy probablemente puede llevar a la ejecución de código: hay demasiada superficie de ataque.
La mayoría de los proveedores de nube serios aíslan correctamente sus ofertas de bases de datos exactamente por esta razón. Y la competición zeroday.cloud de este año ya no tiene a Postgres autenticado como objetivo, exactamente por esta razón.
- lfittl
Por si sirve de algo, me resultó más fácil mirar las notas de la versión (https://www.postgresql.org/docs/release/18.7/) para entender el alcance general de los CVE; desde el anuncio se enlazan las páginas individuales de cada CVE, pero es difícil de escanear.