Si tu aplicación guarda datos en PostgreSQL, hoy toca actualizar. El proyecto publicó una de sus entregas de seguridad más grandes: corrige 52 fallas y más de 140 errores en todas las versiones que todavía tienen soporte.
Además, esta es la última actualización de PostgreSQL 14. Si sigues en esa versión, ya no recibirás más parches.
¿Qué pasó?
El 12 de noviembre de 2026 el grupo que desarrolla PostgreSQL lanzó las versiones 18.7, 17.12, 16.16, 15.20 y 14.25. Junto con ellas salió la segunda versión candidata de PostgreSQL 19, cuyo lanzamiento final está previsto para el 19 de noviembre.
De las 52 fallas, 32 tienen una calificación de 8.8 sobre 10 en la escala CVSS, que mide qué tan grave es un problema de seguridad. La mayoría permitiría ejecutar código en el servidor. Están en partes como los lenguajes PL/Perl y PL/Tcl, la búsqueda de texto, las consultas en paralelo, la replicación lógica y la extensión dblink. La menos grave, con 3.1, permitía saltarse el permiso para ejecutar ciertas funciones de conversión de datos.
Para aprovechar casi todas, un atacante necesita una cuenta en la base de datos con permiso para crear objetos, como tablas o funciones. Ni el anuncio oficial ni Help Net Security mencionan ataques reales hasta ahora.
También hay correcciones en herramientas de línea de comandos como pg_dump y reindexdb, donde un nombre preparado con mala intención podía colar instrucciones SQL al respaldar o restaurar una base.
¿Por qué te importa?
PostgreSQL es la base de datos detrás de muchísimas aplicaciones web y de backends de todos los tamaños. Si en tu servidor otras personas o aplicaciones pueden crear objetos, por ejemplo en un hosting compartido o en una plataforma con varios clientes, el riesgo es mayor.
El fin de PostgreSQL 14 es igual de importante. Un servidor sin parches queda expuesto a cualquier falla que se descubra después, así que conviene planear la migración a una versión más nueva cuanto antes.
¿Qué puedes hacer?
- Actualiza a la versión más reciente de tu rama: 18.7, 17.12, 16.16 o 15.20.
- Actualiza también los programas cliente, como pg_dump y psql, sobre todo si otros usuarios pueden crear objetos en tu servidor.
- Revisa la lista de pasos posteriores del anuncio oficial: algunos índices, por ejemplo los GIN o los de la extensión pg_trgm, pueden necesitar reconstruirse.
- Haz un respaldo completo nuevo después de actualizar, antes de seguir con respaldos incrementales.
- Si sigues en PostgreSQL 14, instala la 14.25 y agenda la migración a una versión con soporte.
Sigue leyendo
Fuentes
- PostgreSQL Global Development Group: PostgreSQL 18.7, 17.12, 16.16, 15.20, 14.25, and 19 RC 2 Released!
- Help Net Security: PostgreSQL security update fixes 52 vulnerabilities, ends support for PostgreSQL 14
Imagen de portada: foto de panumas nikhomkhai en Pexels.