Microsoft SQL Server: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft SQL Server ermöglicht die Ausführung von Code über das Netzwerk. Der Angreifer benötigt autorisierten Zugriff mit niedrigen Rechten, und die Angriffskomplexität wird als hoch eingestuft. Eine erfolgreiche Ausnutzung könnte zur vollständigen Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit des Datenbankservers führen.

Betroffen

• SQL Server 2017 CU31 (x64-basiert): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 GDR: 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 CU32 (x64-basiert): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 GDR: 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 CU27 (x64-basiert): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 GDR (x64-basiert): 17.0.1050.2 bis vor 17.0.1155.3
• Hinweis: Die betroffene Liste unterscheidet sich zwischen den Quellen. Der Zweig 2017 RTM+GDR (14.0.2150.2) ist nicht aufgeführt. Bitte anhand der Microsoft-Advisory prüfen.

Behoben in

• SQL Server 2017 CU31+GDR: 14.0.3570.2 (KB 5132746)
• SQL Server 2019 RTM+GDR: 15.0.2210.4 (KB 5132751)
• SQL Server 2019 CU32+GDR: 15.0.4510.2 (KB 5132745)
• SQL Server 2022 RTM+GDR: 16.0.1220.3 (KB 5132747)
• SQL Server 2022 CU27+GDR2: 16.0.4315.2 (KB 5129300)
• SQL Server 2025 CU10+GDR: 17.0.5045.3 (KB 5129299)
• SQL Server 2025 RTM+GDR: 17.0.1155.3 (KB 5132748)
• Quelle: Tabelle der Updates vom November 2026 in einer verwandten Microsoft-Advisory. Die Zuordnung für diese CVE auf der eigenen Advisory prüfen.

Umgehung

Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden. Die Behebung erfolgt durch Patching.

• Bis zur Behebung den Netzwerkzugriff auf die SQL-Server-Ports einschränken, Konten mit minimalen Rechten verwenden und einschränken, wer sich authentifizieren darf (allgemeine Empfehlung, nicht aus den Quellen).

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• Kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Kein Eintrag im CISA-KEV-Katalog in den Recherchen gefunden; der KEV-Katalog wurde nicht direkt geprüft.

Unsere Empfehlung

• Alle SQL-Server-Instanzen und deren Builds erfassen, einschliesslich jener, die von Fachanwendungen wie ERP, Buchhaltung und Reporting genutzt werden.
• Das Sicherheitsupdate vom November 2026 für den betroffenen Zweig so bald wie möglich einspielen.
• Bis zur Behebung den Netzwerkzugriff auf die SQL-Server-Ports einschränken und Konten mit Anmelderechten überprüfen.
• Auf ungewöhnliche SQL-Server-Aktivitäten und Abstürze achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-116937 msrc.microsoft.com
• CVE Record CVE-2026-116937 www.cve.org
• Microsoft advisory CVE-2026-67391 (sibling, November 2026 update table) msrc.microsoft.com
• Aggregator data CVE-2026-116937 cve.threatint.com
• Strix CVE-2026-116937 www.strix.ai
• ZDI: November 2026 security update review www.thezdi.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:42.