PgBouncer 1.26.1: corregir CVE-2026-107350 (SCRAM)

El 14 de octubre de 2026, el proyecto PgBouncer publicó la versión 1.26.1, que corrige tres fallos. El más serio, CVE-2026-107350, es una evasión de autenticación: un cliente que conoce la contraseña de un usuario SCRAM puede conectarse como cualquier otro usuario SCRAM, incluidos los administradores de PgBouncer y los superusuarios de PostgreSQL. El mecanismo es un segundo mensaje de inicio, el StartupMessage, procesado durante la autenticación SCRAM cuando la conexión apunta a una base de datos inexistente. Según la descripción de Mend, el intercambio SCRAM se sigue verificando con las claves del primer usuario, mientras que la sesión se abre con la identidad del segundo. El changelog precisa que el ataque exige SCRAM en ambos usuarios.

Los otros dos fallos son denegaciones de servicio, activables sin autenticación pero solo con ciertas opciones de configuración: CVE-2026-107349 y CVE-2026-107348. Mend asigna a CVE-2026-107350 una puntuación CVSS v4 de 8,7. La puntuación importa menos que una pregunta práctica: qué versión corre en sus máquinas y quién puede alcanzar el puerto 6432.

La objeción es legítima: un PgBouncer que solo escucha en una dirección privada no es accesible desde Internet. Pero el ataque no requiere fuerza bruta. Basta conocer la contraseña de un único usuario SCRAM válido y poder alcanzar el puerto. La contraseña de una aplicación vive en un archivo .env, una variable de CI, un equipo de desarrollo, a veces un registro. Una aplicación comprometida aporta a la vez la contraseña y la posición de red. Desde ahí, el fallo convierte una cuenta de aplicación limitada en una cuenta de administración, o incluso en superusuario del servidor PostgreSQL que hay detrás.

El criterio que decide no es entonces "Internet o no", sino dos preguntas: quién puede abrir una conexión al puerto 6432 y cuántas contraseñas válidas circulan. Una versión vulnerable tras un cortafuegos estricto es un riesgo reducido, no eliminado.

En el momento de redactar esto, el rastreador de seguridad de Debian lista bookworm (1.18.0-1+deb12u1) y trixie (1.24.1-1+deb13u2) como vulnerables a CVE-2026-107350, y solo forky y sid disponen del paquete corregido 1.26.1-1. Mientras Debian no publique una corrección para su versión, apt upgrade por sí solo no protege. Vuelva a consultar el rastreador el día en que actúe: el estado puede haber cambiado.

Existen tres vías. La primera: el repositorio PGDG, apt.postgresql.org para Debian y Ubuntu, yum.postgresql.org para RHEL y derivadas, que la página de descargas de PgBouncer presenta como compilaciones a veces más recientes que las de las distribuciones. La segunda: una imagen Docker o una etiqueta actualizada, sabiendo que el proyecto no menciona ninguna imagen oficial y que usted usa por tanto una imagen de terceros. La tercera: compilar el archivo de código fuente de la versión 1.26.1. Antes de cambiar, confirme con apt-cache policy pgbouncer o dnf info pgbouncer que el repositorio ofrece realmente la versión corregida.

Para CVE-2026-107350, el anuncio no da ninguna mitigación de configuración: la actualización es la única respuesta real. Sí puede reducir quién tiene la oportunidad de intentarlo. Limite el puerto 6432 a la red de aplicaciones:
sudo ufw allow from <app_subnet> to any port 6432 proto tcp
sudo ufw status numbered
sudo ufw delete <n>
Aquí <n> es el número de una regla más amplia ya presente, por ejemplo una que abre el puerto 6432 a todos, que se elimina una vez colocada la regla restringida. En RHEL y derivadas, la misma regla se define con firewalld. Si listen_addr vale *, sustitúyalo por la dirección privada del servidor. Después audite el archivo auth_file: elimine las cuentas sin uso, cambie las contraseñas que hayan circulado y reduzca admin_users al mínimo imprescindible.

Para las dos denegaciones de servicio, lo que sigue es nuestra lectura de las condiciones del changelog, no una consigna del editor. CVE-2026-107349 supone ignore_startup_parameters no vacío y sin options: añadir options a la lista elimina la condición; vaciar el parámetro también, pero puede provocar el rechazo de clientes que envían parámetros de inicio (véase el caso de search_path más arriba). CVE-2026-107348 supone un max_packet_size superior a 2147483648: mantener el valor por defecto, 2147483647, lo descarta.

PgBouncer registra por defecto las conexiones logradas y las desconexiones, con su motivo, gracias a log_connections y log_disconnections. Lea el periodo posterior a la publicación de las correcciones, y más atrás si sus registros lo permiten:
sudo journalctl -u pgbouncer --since "2026-10-14"
Busque intentos hacia nombres de base de datos que no existen en su sección [databases], seguidos de una sesión abierta justo después con otro nombre de usuario desde la misma dirección. En la consola, estos dos comandos muestran el estado actual:
psql -h 127.0.0.1 -p 6432 -U <admin_user> pgbouncer -c "SHOW DATABASES;"
psql -h 127.0.0.1 -p 6432 -U <admin_user> pgbouncer -c "SHOW CLIENTS;"
Del lado de PostgreSQL, liste los roles y sus cambios recientes con psql -c "\du".

No disponemos de una firma exacta de este ataque en los registros, y no la inventamos. La ausencia de huellas no prueba la ausencia de intrusión, sobre todo si log_connections estaba desactivado o si los registros han rotado. Ante una duda seria, cambie las contraseñas de todas las cuentas SCRAM y de los roles privilegiados del servidor PostgreSQL.

Una actualización lograda se demuestra, no se supone. Para cada servidor, anote en una tabla la máquina, el modo de instalación, la versión antes y después, la regla de cortafuegos aplicada y la fecha de la comprobación. Verifique que SHOW VERSION anuncia 1.26.1, que el proceso se reinició tras la instalación y que el puerto 6432 solo es accesible desde la red prevista. Confirme también que sus dos ajustes de denegación de servicio respetan las condiciones descritas antes, o que han quedado sin objeto.

Por último, no cuente con las actualizaciones automáticas: un paquete de distribución sin corregir no se actualiza solo, y una imagen Docker fijada tampoco. Añada un recordatorio para volver a consultar el rastreador de seguridad de su distribución y pase a su paquete cuando esté corregido, o mantenga el repositorio PGDG de forma deliberada.

Corregir PgBouncer requiere tres accesos: elegir la versión instalada, definir el cortafuegos del puerto 6432 y leer los registros. En un VPS Cloud con acceso root, esas tres palancas son suyas, sin depender del calendario de un alojamiento compartido. Las guías enlazadas bajo este artículo detallan el cortafuegos y la puesta en marcha de PostgreSQL. Esta guía se ofrece sin soporte: la actualización queda a su cargo. Si prefiere delegar la administración del servidor, existe la opción de administración de VPS, que conviene valorar según su necesidad.

Anuncio de la versión 1.26.1: https://www.postgresql.org/about/news/pgbouncer-1261-released-fixes-three-cves-3403/

Registro de cambios de PgBouncer: https://www.pgbouncer.org/changelog.html

Descargas de PgBouncer: https://www.pgbouncer.org/downloads/

Uso y consola de administración: https://www.pgbouncer.org/usage.html

Configuración de PgBouncer: https://www.pgbouncer.org/config.html

Rastreador de seguridad de Debian para CVE-2026-107350: https://security-tracker.debian.org/tracker/CVE-2026-107350

Ficha de Mend de CVE-2026-107350: https://www.mend.io/vulnerability-database/CVE-2026-107350/

Repositorio apt de PostgreSQL: https://wiki.postgresql.org/wiki/Apt

Repositorio yum de PostgreSQL: https://yum.postgresql.org/

Docker y cortafuegos: https://docs.docker.com/engine/network/packet-filtering-firewalls/