Ejecución de Código Remoto (RCE) mediante inyección de funciones en bases de datos relacionales empresariales.

El defecto se localiza en el manejo de memoria al inicializar procedimientos almacenados que invocan librerías en C compartidas. Un usuario malicioso puede diseñar una consulta SQL que desborde el puntero de validación de la ruta de la librería, forzando al motor a cargar código binario arbitrario alojado temporalmente en tablas del sistema. Esto rompe por completo el control de accesos del software y permite el despliegue de shells inversas.

• Aplicar de inmediato el parche de seguridad acumulativo distribuido en julio para el motor de base de datos correspondiente.
• Restringir de manera estricta el parámetro de configuración que permite la carga de librerías dinámicas (shared_preload_libraries o equivalentes).
• Modificar los permisos de los usuarios de la aplicación para revocar la capacidad de crear funciones (REVOKE CREATE ON SCHEMA), limitándolos exclusivamente a operaciones de lectura/escritura de datos (DML).

https://www.incibe.es/incibe-cert/alerta-temprana/vulnerabilidades/cve-2026-6114