Microsoft SQL Server: Remote Code Execution durch heap-basierten Pufferüberlauf

Zusammenfassung

Microsoft SQL Server enthält einen heap-basierten Pufferüberlauf (CWE-122), der die Ausführung von Code über das Netzwerk ermöglicht. Ein Angreifer mit einem gültigen Konto mit niedrigen Berechtigungen kann die Schwachstelle ohne Benutzerinteraktion ausnutzen und erhält dadurch die volle Kontrolle über Vertraulichkeit, Integrität und Verfügbarkeit des Datenbankservers. CVSS 8.8 (hoch).

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 for x64-based Systems (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 for x64-based Systems (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 for x64-based Systems (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 for x64-based Systems (GDR): 17.0.1050.2 bis vor 17.0.1155.3

Unbekannt: Ältere Versionen wie SQL Server 2016 sind im CVE-Eintrag nicht aufgeführt.

Behoben in

• SQL Server 2017 (GDR): 14.0.2150.2
• SQL Server 2017 (CU31): 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.2210.4
• SQL Server 2019 (CU32): 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.1220.3
• SQL Server 2022 (CU27): 16.0.4315.2
• SQL Server 2025 (CU10): 17.0.5045.3
• SQL Server 2025 (GDR): 17.0.1155.3

Das SQL Server 2025 GDR-Update vom 10. November 2026 (KB5132748) enthält diese CVE. Genaue Build-Nummern vor der Installation im MSRC-Advisory prüfen.

Umgehung

Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden. Das Einspielen des Patches ist die empfohlene Massnahme.

Ausnutzung

• Es liegen keine Hinweise auf aktive Ausnutzung oder öffentlichen Proof-of-Concept-Code für diese CVE vor.
• CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Betroffene SQL-Server-Instanzen auf die oben genannten korrigierten Builds aktualisieren, zuerst Instanzen, die aus dem Internet oder von vielen Benutzer-Arbeitsplätzen erreichbar sind.
• Netzwerkzugriff auf die SQL-Server-Ports auf die benötigten Systeme beschränken.
• Datenbank-Logins prüfen und nicht benötigte oder übermässige Konten entfernen.
• SQL-Server-Logs bis zur vollständigen Aktualisierung auf ungewöhnliche Anmeldungen oder Fehler überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-116941 msrc.microsoft.com
• CVE Record CVE-2026-116941 www.cve.org
• KB5132748: SQL Server 2025 GDR, November 2026 support.microsoft.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:33.