Microsoft SQL Server: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft SQL Server erlaubt einem Angreifer mit gültigen Zugangsdaten mit niedrigen Berechtigungen, über das Netzwerk Code auszuführen. Der CVSS-3.1-Basiswert beträgt 7.5 mit hoher Angriffskomplexität, und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft. Es handelt sich um ein Risiko nach der Authentifizierung, daher sind kompromittierte oder schwache Datenbankkonten und offen erreichbare SQL-Server-Ports die Hauptgefahr. Betroffen sind die Zweige 2017, 2019, 2022 und 2025, sowohl GDR- als auch CU-Pakete.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis unter 14.0.2150.2
• SQL Server 2017 x64 (CU31): 14.0.3006.16 bis unter 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis unter 15.0.2210.4
• SQL Server 2019 x64 (CU32): 15.0.4003.23 bis unter 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis unter 16.0.1220.3
• SQL Server 2022 x64 (CU27): 16.0.4003.1 bis unter 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis unter 17.0.5045.3
• SQL Server 2025 x64 (GDR): 17.0.1050.2 bis unter 17.0.1155.3

Behoben in

• Behoben im GDR- oder CU-Update vom November 2026 für jeden installierten Zweig, gemäss den oben genannten Versionsbereichen.
• Die genauen behobenen Builds vor dem Patchen im Microsoft Security Update Guide überprüfen, da die Versionsbereiche aus Drittquellen-Spiegelungen der CNA-Daten stammen.

Umgehung

Unbekannt. Für diese CVE wurde keine separate Workaround- oder Mitigationsmassnahme veröffentlicht.

Ausnutzung

• Ist nach aktuellem Kenntnisstand nicht in freier Wildbahn ausgenutzt worden.
• Rapid7 stuft die Ausnutzung als Less Likely ein.
• Die Ausnutzungsreife wird von Microsoft als Unproven bewertet.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Öffentlicher Proof of Concept: Unbekannt.

Unsere Empfehlung

• Die installierte SQL-Server-Version und den Zweig (GDR oder CU) bestätigen.
• Das GDR- oder CU-Update vom November 2026 für jeden installierten Zweig einspielen und die gesamte Patch-Sammlung vom November 2026 berücksichtigen.
• SQL-Server-Ports nicht aus dem Internet erreichbar machen und den Zugriff auf Applikationsserver beschränken.
• Konten mit Datenbankzugriff prüfen, starke Passwörter durchsetzen und nicht benötigte Logins entfernen.
• Datenbank-Logs auf ungewöhnliche Anmeldungen und Befehlsausführung auf dem Datenbankserver überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-116931 msrc.microsoft.com
• Strix: CVE-2026-116931 www.strix.ai
• Microsoft KB5132748: SQL Server 2025 November 2026 release support.microsoft.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• OffSeq Radar: SQL Server vulnerabilities fixed radar.offseq.com
• SecurityOnline: SharePoint, SQL Server and Azure DevOps November 2026 securityonline.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:44.