Microsoft SQL Server: Remote Code Execution durch Command Injection

Zusammenfassung

Microsoft SQL Server enthält eine Command-Injection-Schwachstelle (CWE-77), die eine Remote Code Execution über das Netzwerk ermöglicht. Der CVSS-Vektor (8.8, HIGH) setzt keine Berechtigungen, aber eine Benutzerinteraktion voraus, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Beschreibung spricht von einem nicht autorisierten Angreifer, was im Widerspruch zur Benutzerinteraktion im Vektor steht, weshalb die genauen Voraussetzungen noch mit Microsoft zu klären sind.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2 (aus einem Drittanbieter-Aggregator, nicht verifiziert)
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3 (aus einem Drittanbieter-Aggregator, nicht verifiziert)
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2 (aus einem Drittanbieter-Aggregator, nicht verifiziert)
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3 (aus einem Drittanbieter-Aggregator, nicht verifiziert)
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3 (aus einem Drittanbieter-Aggregator, nicht verifiziert)

Behoben in

Microsoft hat einen Fix im Sicherheitsupdate vom 10. November 2026 veröffentlicht (laut Recherche KB5132748 für SQL Server 2025 GDR). Exakte korrigierte Build-Nummern je Zweig: Unbekannt. Die Build-Liste ist im MSRC-Advisory zu prüfen.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Das Einspielen des Patches ist die einzige dokumentierte Massnahme.

Ausnutzung

• CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
• Der CVSS-Vektor verwendet die Exploit-Reife 'unproven'.
• Es wurden kein öffentlicher Proof of Concept, kein Metasploit-Modul und keine Ausnutzung in freier Wildbahn gefunden.
• Eine Preisschätzung eines Drittanbieters existiert, was jedoch kein Nachweis einer Nutzung ist.

Unsere Empfehlung

• SQL-Server-Instanzen auf den im MSRC-Advisory für Ihren Zweig genannten Build patchen, zuerst Instanzen, die aus dem Internet erreichbar sind.
• Prüfen, ob eine SQL-Server-Instanz direkt exponiert ist, auch über Portweiterleitungen oder Fehlkonfigurationen des VPN, und nicht benötigte Ports schliessen.
• Berechtigungen der SQL-Dienstkonten einschränken und den Netzwerkzugriff auf Datenbankserver auf die benötigten Segmente beschränken.
• Auf ungewöhnliche Prozesserstellung oder Befehlsausführung auf Datenbankservern überwachen.
• Bei Microsoft klären lassen, ob eine Benutzerinteraktion erforderlich ist, um die Risikobewertung abzuschliessen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record (CNA Microsoft) www.cve.org
• MSRC Security Update Guide msrc.microsoft.com
• VulDB vuldb.com
• Strix CVE details (third-party, unverified) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:36.