Microsoft WDAC OLE DB provider for SQL: Remote Code Execution durch Use-after-free

Zusammenfassung

Eine Use-after-free-Speicherbeschädigung (CWE-416) im Microsoft WDAC OLE DB provider for SQL unter Windows erlaubt Remote Code Execution. Ein nicht authentifizierter Angreifer kann dies über ein Netzwerk versuchen, der Angriff hat jedoch eine hohe Komplexität und erfordert eine Benutzerinteraktion, etwa das Öffnen oder Besuchen von vom Angreifer kontrollierten Inhalten. Der CVSS-3.1-Basiswert beträgt 7.5 (Hoch). Laut CISA SSVC ist keine Ausnutzung bekannt und die Ausnutzung ist nicht automatisierbar.

Betroffen

• Windows 10 Version 1607 (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows 10 Version 1809 (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows 10 Version 21H2 (10.0.19044.0 bis vor 10.0.19044.7846)
• Windows 10 Version 22H2 (10.0.19045.0 bis vor 10.0.19045.7846; mit MSRC zu verifizieren)
• Windows 11 Version 23H2 (10.0.22631.0 bis vor 10.0.22631.7711)
• Windows 11 Version 24H2 (10.0.26100.0 bis vor 10.0.26100.9974; mit MSRC zu verifizieren)
• Windows 11 Version 25H2 (10.0.26200.0 bis vor 10.0.26200.9974; mit MSRC zu verifizieren)
• Windows 11 Version 26H1 (10.0.28000.0 bis vor 10.0.28000.3501)
• Windows 11 Version 26H2 (10.0.26300.0 bis vor 10.0.26300.9974)
• Windows Server 2016 inkl. Server Core (10.0.14393.0 bis vor 10.0.14393.9688)
• Windows Server 2019 inkl. Server Core (10.0.17763.0 bis vor 10.0.17763.9487)
• Windows Server 2022 (10.0.20348.0 bis vor 10.0.20348.5870)

Behoben in

• Installieren Sie das Microsoft-Sicherheitsupdate vom November 2026, das jeden betroffenen Build auf die aufgeführte korrigierte Version oder höher bringt.
• KB-Nummern: Unbekannt.

Umgehung

Unbekannt. In den geprüften Quellen wurde keine vom Hersteller empfohlene Massnahme identifiziert.

Ausnutzung

• Öffentlicher Exploit-Code: Unbekannt.
• Ausnutzung in freier Wildbahn: in den geprüften Quellen nicht bestätigt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.

Unsere Empfehlung

• Installieren Sie das kumulative Update vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen, zuerst auf jenen, die mit SQL Server verbunden sind.
• Prüfen Sie die exakten korrigierten Builds für Ihre Editionen im MSRC Security Update Guide vor der Verteilung.
• Erfassen Sie Windows-Systeme, die noch auf älteren Builds wie 1607, 1809 oder 21H2 laufen.
• Beschränken Sie den Zugriff auf SQL Server auf die benötigten Hosts und Benutzer und sensibilisieren Sie Mitarbeitende dafür, keine unbekannten Dateien oder Links zu öffnen.
• Prüfen Sie den Status der Ausnutzung nach dem Patch-Zyklus erneut, da die NVD-Analyse noch aussteht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE.org CNA record CVE-2026-116698 www.cve.org
• Microsoft Security Update Guide CVE-2026-116698 msrc.microsoft.com
• Strix CVE-2026-116698 (third-party, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:46.