Microsoft SQL Server: Rechteerweiterung durch unnötige Berechtigungen

Zusammenfassung

Microsoft SQL Server enthält eine Schwachstelle zur Rechteerweiterung (CWE-250, Ausführung mit unnötigen Berechtigungen). Ein berechtigter Angreifer mit Netzwerkzugriff und einem SQL-Login mit niedrigen Rechten könnte höhere Rechte in der Datenbank erlangen, potenziell bis zur Kontrolle auf Sysadmin-Ebene. Die Angriffskomplexität ist hoch, und die Schwachstelle ist ohne gültige Zugangsdaten nicht ausnutzbar. Microsoft hat in den SQL-Server-Updates vom November 2026 Korrekturen veröffentlicht.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis unter 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis unter 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis unter 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis unter 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis unter 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis unter 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis unter 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis unter 17.0.1155.3

Behoben in

• Das SQL-Server-Update vom 10. November 2026 für den eigenen Zweig (GDR oder CU) installieren.
• Korrigierte Builds gemäss den oberen Grenzen im CVE-Eintrag: 2017 GDR 14.0.2150.2; 2017 CU31 14.0.3570.2; 2019 GDR 15.0.2210.4; 2019 CU32 15.0.4510.2; 2022 GDR 16.0.1220.3; 2022 CU27 16.0.4315.2; 2025 CU10 17.0.5045.3; 2025 GDR 17.0.1155.3.
• Alle Builds vor dem Rollout mit der MSRC-Meldung und KB5132748 überprüfen.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Das Einspielen des Patches ist die empfohlene Massnahme.

Ausnutzung

• Nicht bekanntermassen ausgenutzt. CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Rapid7 bewertet die Ausnutzung als weniger wahrscheinlich.
• Der Status eines öffentlichen Proof-of-Concept ist unklar; die Quellen widersprechen sich. Vor einer Verlassung auf eine der beiden Angaben erneut prüfen.

Unsere Empfehlung

• Alle SQL-Server-Instanzen (2017 bis 2025, GDR- und CU-Zweige) und deren aktuelle Builds erfassen.
• Das Update vom November 2026 auf jeder Instanz einspielen und den Build anschliessend überprüfen.
• Sicherstellen, dass die SQL-Server-Ports nicht aus dem Internet erreichbar sind, und den Zugriff aus DMZ- und Partnernetzen einschränken.
• Mitgliedschaften in der Sysadmin-Rolle und anderen Rollen mit hohen Rechten prüfen und gemeinsam genutzte oder ungenutzte SQL-Logins entfernen.
• Auf ungewöhnliche Rechteänderungen achten und NVD sowie MSRC auf eine CWE-Bestätigung und Updates zur Ausnutzung prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-116929 msrc.microsoft.com
• Microsoft KB5132748: SQL Server 2025 GDR, November 2026 support.microsoft.com
• Strix: CVE-2026-116929 www.strix.ai
• Rapid7: Patch Tuesday, November 2026 www.rapid7.com
• OffSeq Radar: SQL Server vulnerabilities fixed radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:44.