Microsoft WDAC OLE DB provider for SQL: Remote Code Execution durch Heap-Overflow

Zusammenfassung

Ein heap-basiertes Buffer Overflow im Microsoft WDAC OLE DB provider for SQL, einer Windows-Datenzugriffskomponente, die von Anwendungen für die Verbindung mit SQL Server genutzt wird, erlaubt einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Der CVSS-Vektor verlangt keine Berechtigungen, aber eine Benutzerinteraktion, und nur die Verfügbarkeit wird als hoch eingestuft. Microsoft hat im Patch-Zyklus vom November 2026 Korrekturen veröffentlicht, und derzeit ist kein öffentlicher Exploit bekannt.

Betroffen

• Windows 10 Version 1607 und Windows Server 2016 (inklusive Server Core): Builds vor 10.0.14393.9688
• Windows 10 Version 1809 und Windows Server 2019 (inklusive Server Core): Builds vor 10.0.17763.9487
• Windows 10 Version 21H2: Builds vor 10.0.19044.7846
• Windows 10 Version 22H2: Builds vor 10.0.19045.7846
• Windows 11 Version 23H2: Builds vor 10.0.22631.7711
• Windows 11 Version 24H2: Builds vor 10.0.26100.9974
• Windows 11 Version 25H2: Builds vor 10.0.26200.9974
• Windows 11 Version 26H1: Builds vor 10.0.28000.3501
• Windows 11 Version 26H2: Builds vor 10.0.26300.9974
• Windows Server 2022: Builds vor 10.0.20348.5870

Behoben in

• Installieren Sie das kumulative Update vom November 2026 für jeden betroffenen Windows-Build. Die korrigierten Builds sind die oben aufgeführten Versionen.
• Der korrigierte Build für Windows 11 Version 24H2 unterscheidet sich zwischen dem CVE-Eintrag und einer Drittquelle. Bestätigen Sie den genauen Build im MSRC-Advisory.
• Kein separater Fix oder Hotfix gefunden.

Umgehung

Unbekannt.

Ausnutzung

• Rapid7 stuft die CVE als "Exploitation Unlikely" ein und führt sie als nicht öffentlich bekannt.
• ZDI meldet, dass keine Probleme in diesem Release öffentlich bekannt oder ausgenutzt sind.
• Kein öffentlicher Proof-of-Concept gefunden. Soweit ersichtlich nicht in CISA KEV gelistet.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Installieren Sie das kumulative Update vom November 2026 auf allen betroffenen Windows-10-, Windows-11- und Windows-Server-Systemen, und priorisieren Sie Server und Hosts mit SQL-verbundenen Anwendungen.
• Prüfen Sie die Build-Nummern in Ihrem Inventar, da ältere Builds wie 1607 und 1809 betroffen sind.
• Bestätigen Sie die genauen korrigierten Builds im MSRC-Advisory vor dem Rollout.
• Beobachten Sie öffentliche Informationen zu Exploits und prüfen Sie den CVE-Status in einigen Tagen erneut.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-116699 msrc.microsoft.com
• CVE.org record CVE-2026-116699 www.cve.org
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
• Strix: CVE-2026-116699 (third-party, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:17.