Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Vulnerabilidad en AlloyDB for PostgreSQL de Google Cloud (CVE-2026-7428)

Gravedad CVSS v4.0:
CRÍTICA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
12/05/2026
Última modificación:
26/10/2026

Descripción

Antes del 03-11-2025, usuarios bienintencionados de Terraform o la API REST para Google Cloud AlloyDB para PostgreSQL podrían haber creado clústeres con una contraseña predeterminada insegura que podría haber sido explotada por un atacante remoto para obtener acceso administrativo completo a la base de datos.<br /> <br /> La explotación requería acceso a la red al clúster de AlloyDB y se limitaba a Terraform o la API REST, ya que otros clientes lo bloqueaban.

Impacto

Vector 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/U:Amber CVSS v4.0 Severidad y Métricas:

Puntuación base: 9.20 CRÍTICA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/U:Amber

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Alto
Availability (VA): Alto
Confidentiality (SC): Bajo
Integrity (SI): Bajo
Availability (SA): Bajo
Provider Urgency (U): Amber

Puntuación base 4.0
9.20
Gravedad 4.0
CRÍTICA

Referencias a soluciones, herramientas e información