Microsoft SQL Server: Heap-basierter Pufferüberlauf führt zu Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft SQL Server erlaubt einem Angreifer, über das Netzwerk Code auszuführen. Der Angreifer benötigt einen gültigen Datenbank-Login mit niedrigen Berechtigungen, und die Angriffskomplexität ist hoch. Ein erfolgreicher Angriff könnte die Vertraulichkeit, Integrität und Verfügbarkeit des Datenbankservers und der angebundenen Systeme beeinträchtigen.

Betroffen

• SQL Server 2017 for x64-based Systems (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 for x64-based Systems (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 for x64-based Systems (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 for x64-based Systems (GDR): 17.0.1050.2 bis vor 17.0.1155.3

Behoben in

• SQL Server 2022 CU27: 16.0.4315.2 (Obergrenze gemäss CVE-Eintrag, auf MSRC zu verifizieren)
• SQL Server 2025 CU10: 17.0.5045.3 (Obergrenze gemäss CVE-Eintrag, auf MSRC zu verifizieren)
• SQL Server 2025 GDR: 17.0.1155.3 (Obergrenze gemäss CVE-Eintrag, auf MSRC zu verifizieren)
• SQL Server 2017 CU31, 2019 GDR, 2019 CU32 und 2022 GDR: Unbekannt.
• KB-Artikelnummern: Unbekannt.

Umgehung

Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers identifiziert; das Einspielen des Sicherheitsupdates ist die Lösung des Herstellers.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• Der Hersteller bewertet die Exploit-Reife im CVSS mit Unproven (E:U).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Alle SQL-Server-Instanzen und deren Build-Nummern erfassen.
• Das Sicherheitsupdate vom November 2026 für jede betroffene Version einspielen, nachdem die Fix-Builds im MSRC-Advisory überprüft wurden.
• Datenbankports auf interne Hosts beschränken und SQL Server nicht ins Internet exponieren.
• SQL-Logins und Dienstkonten überprüfen und nicht benötigte oder gemeinsam genutzte Konten entfernen.
• Im regulären Patch-Zyklus einspielen; interneterreichbare oder breit genutzte Instanzen priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record CVE-2026-116938 www.cve.org
• Microsoft Security Update Guide: CVE-2026-116938 msrc.microsoft.com
• threatint aggregator entry cve.threatint.com
• Microsoft sibling advisory with November 2026 SQL Server update numbers msrc.microsoft.com
• SQL Server 2025 GDR KB5132748 (November 2026) support.microsoft.com
• Rapid7 Patch Tuesday November 2026 exploitability table www.rapid7.com
• Zero Day Initiative November 2026 security update review www.thezdi.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:43.