MariaDB corrige tres vulnerabilidades críticas que permiten a usuarios con pocos privilegios comprometer el servidor
MariaDB ha corregido tres vulnerabilidades con CVSS 9.9 (CVE-2026-85746, CVE-2026-85748 y CVE-2026-92262). Un usuario autenticado con pocos privilegios podría aprovecharlas para corromper memoria, acceder a ficheros o, en determinadas condiciones, ejecutar código. Afectan a las ramas 10.6, 10.11, 11.4, 11.8, 12.3 y 13.0 de MariaDB Server.
Qué ha pasado
NVD ha publicado hoy, 16 de octubre, tres vulnerabilidades de MariaDB Server, todas con una puntuación CVSS de 9.9 (crítica). Las tres se pueden explotar a través de la red. Basta con una cuenta de base de datos con pocos privilegios y no hace falta ninguna interacción del usuario. Las versiones de mantenimiento más recientes de cada rama ya incluyen la corrección.
- CVE-2026-85746: la función geoespacial ST_AsText puede escribir fuera del búfer reservado al convertir colecciones geométricas (GeometryCollection) con muchos niveles de anidamiento. Un atacante puede enviar un objeto GIS manipulado para corromper la memoria y, si lo combina con otra vulnerabilidad, llegar a ejecutar código. La incidencia MDEV-40329 de MariaDB tiene la prioridad máxima (Blocker) e indica que el fallo puede bloquear o tumbar el servidor.
- CVE-2026-85748: un fallo en la gestión de los cursores SYS_REFCURSOR deja referencias obsoletas cuando se amplía la memoria reservada para ellos. Si el atacante abre un gran número de cursores y después lee uno, provoca un use-after-free (uso de memoria liberada). Encadenado con otro fallo, podría permitir la ejecución remota de código (RCE).
- CVE-2026-92262: el prefijo heredado #mysql50# permite saltarse (bypass) la codificación habitual de los nombres de tabla en el sistema de ficheros. Con nombres de tabla que usan ese prefijo, un atacante puede acceder a ficheros por su nombre antiguo sin codificar. Eso le permitiría provocar caídas, corrupción o filtración de datos e incluso ejecución remota de código.
A quién afecta
CVE-2026-85746 y CVE-2026-92262 afectan a MariaDB Server a partir de la versión 10.6.1, en todas las ramas citadas, hasta la versión corregida de cada una. CVE-2026-85748 solo afecta a las ramas más recientes, a partir de la versión 12.3.1. El riesgo es mayor cuando terceros tienen cuentas en la base de datos, como en el alojamiento compartido o las plataformas multiinquilino. También aumenta si las credenciales de alguna aplicación pueden estar comprometidas.
- Rama 10.6: versiones anteriores a 10.6.28 (CVE-2026-85746 y CVE-2026-92262)
- Rama 10.11: versiones anteriores a 10.11.19 (CVE-2026-85746 y CVE-2026-92262)
- Rama 11.4: versiones anteriores a 11.4.13 (CVE-2026-85746 y CVE-2026-92262)
- Rama 11.8: versiones anteriores a 11.8.9 (CVE-2026-85746 y CVE-2026-92262)
- Rama 12.3: versiones anteriores a 12.3.3 (las tres vulnerabilidades)
- Rama 13.0: versiones anteriores a 13.0.2 (las tres vulnerabilidades)
Estado de la explotación
Ninguna de las tres figura en el catálogo KEV de CISA, así que no consta explotación activa, y no se conoce ningún exploit público. Aun así, la puntuación crítica y el bajo nivel de privilegios necesario aconsejan no retrasar la actualización. Según el gestor de incidencias de MariaDB, el fallo de ST_AsText se resolvió en julio. La página de la versión 10.11.19 en GitHub remite a las notas de la versión para más detalles.
Qué hacer
La medida principal es actualizar a la versión corregida de cada rama. El fabricante no ha detallado mitigaciones alternativas, así que conviene reducir la exposición hasta completar la actualización.
- Actualizar a MariaDB 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 o 13.0.2, según la rama instalada.
- Tener en cuenta que el gestor de incidencias de MariaDB marca la rama 10.6 como fin de soporte (EOL), aunque publica la versión corregida 10.6.28. Conviene planificar la migración a una rama mantenida.
- Revisar qué cuentas pueden conectarse al servidor y eliminar las innecesarias o las que tengan más privilegios de los imprescindibles.
- Comprobar que el puerto de MariaDB no está expuesto a Internet y limitar el acceso a los equipos y aplicaciones que lo necesiten.
- Revisar los registros en busca de caídas inesperadas del servidor o de nombres de tabla con el prefijo #mysql50#.
Fuentes
Tecnologías afectadas
Vulnerabilidades (3)
| CVE | Severidad | Explotación activa | Publicada | Estado NVD |
|---|---|---|---|---|
| CVE-2026-85746 | Crítica (9.9) | — | 16/10/2026 | Analizada |
| CVE-2026-85748 | Crítica (9.9) | — | 16/10/2026 | Analizada |
| CVE-2026-92262 | Crítica (9.9) | — | 16/10/2026 | Analizada |
Redactado automáticamente a partir de datos de NVD, CISA KEV y avisos de fabricante. Verifique siempre las versiones afectadas y los parches en el aviso oficial del fabricante antes de actuar.