Microsoft SQL Server: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft SQL Server erlaubt die Ausführung von Code über das Netzwerk. Der CVE-Eintrag bewertet die Schwachstelle mit CVSS 7.2 (v3.1), wobei hohe Privilegien erforderlich sind (PR:H). Ein Angreifer benötigt daher zuerst einen bestehenden Datenbankzugriff mit hohen Rechten, zum Beispiel über ein kompromittiertes Administratorkonto oder einen Insider. Ein erfolgreicher Angriff könnte die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen.

Betroffen

• SQL Server 2022 (GDR): 16.0.0 vor 16.0.1220.3
• SQL Server 2022 for x64-based Systems (CU27): 16.0.4003.1 vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 vor 17.0.5045.3
• SQL Server 2025 for x64-based Systems (CU9): 17.0.4006.2 vor 17.0.5015.4 (Bereich aus einem Drittanbieter-Aggregator übernommen, bei MSRC prüfen)
• SQL Server 2025 for x64-based Systems (GDR): 17.0.1050.2 vor 17.0.1155.3 (Bereich aus einem Drittanbieter-Aggregator übernommen, bei MSRC prüfen)
• SQL Server 2017 und 2019: Unbekannt.

Behoben in

• SQL Server 2022 (GDR): 16.0.1220.3
• SQL Server 2022 CU27 (x64): 16.0.4315.2
• SQL Server 2025 CU10: 17.0.5045.3
• SQL Server 2025 CU9 (x64): 17.0.5015.4
• SQL Server 2025 GDR (x64): 17.0.1155.3
• Die Korrekturen sind Teil des Sicherheitsupdates von Microsoft vom November 2026. Gemeldete KB-Artikel sind 5129299 (2025 CU10) und 5129300 (2022 CU27); diese bei MSRC prüfen und vor dem Rollout die bekannten Probleme prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Das Einspielen von Patches ist die wichtigste Massnahme.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Die CVSS-Reife des Exploit-Codes ist 'unproven' (E:U).
• Es wurde kein öffentlich verfügbarer Proof-of-Concept-Exploit gefunden.

Unsere Empfehlung

• Alle SQL-Server-Instanzen und ihre genauen Builds inklusive GDR- und CU-Linien erfassen.
• Nach Prüfung der MSRC-Seite und der KB-Hinweise zu bekannten Problemen auf die korrigierten Builds des November-2026-Updates patchen.
• Sicherstellen, dass Datenbankserver nicht aus dem Internet erreichbar sind, und den Zugriff auf bekannte Applikations- und Administrationshosts beschränken.
• Sysadmin- oder gleichwertige Rechte prüfen und nicht benötigte Rechte entfernen.
• NVD erneut prüfen, sobald die Analyse veröffentlicht ist, da sich die CVSS- und CWE-Angaben ändern können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-116933 (CVE.org) www.cve.org
• Microsoft Security Update Guide CVE-2026-116933 msrc.microsoft.com
• Strix CVE-2026-116933 (third-party aggregator) www.strix.ai
• Microsoft November 2026 Patch Tuesday overview (KB reference and known issues) www.ntcompatible.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 06:51.