Microsoft SQL Server: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft SQL Server erlaubt einem autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angreifer benötigt einen gültigen SQL-Login mit niedrigen Berechtigungen (PR:L), jedoch keine Benutzerinteraktion. Microsoft stuft die Schwachstelle mit CVSS 8.8 ein, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• SQL Server 2017 for x64-based Systems (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 for x64-based Systems (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 for x64-based Systems (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 for x64-based Systems (GDR): 17.0.1050.2 bis vor 17.0.1155.3

Behoben in

• SQL Server 2017 CU31 (x64): 14.0.3570.2
• SQL Server 2019 GDR: 15.0.2210.4
• SQL Server 2019 CU32 (x64): 15.0.4510.2
• SQL Server 2022 GDR: 16.0.1220.3
• SQL Server 2022 CU27 (x64): 16.0.4315.2
• SQL Server 2025 CU10: 17.0.5045.3
• SQL Server 2025 GDR (x64): 17.1155.3
• KB-Nummern: Unbekannt. Im MSRC-Advisory für Ihren Branch prüfen.

Umgehung

Unbekannt. Es wurde keine Workaround des Herstellers identifiziert. Das Sicherheitsupdate einspielen.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: Unbekannt für diese CVE. CISA SSVC stuft die Ausnutzung als none ein.
• Öffentlicher Proof of Concept: Keiner gefunden.
• CISA KEV: In den geprüften Quellen nicht gelistet.

Unsere Empfehlung

• Alle SQL-Server-Instanzen und deren Builds inventarisieren, einschliesslich GDR- und CU-Branch.
• Die oben genannten gefixten Builds installieren, mit der KB für Ihren Branch aus dem MSRC-Advisory.
• Sicherstellen, dass keine SQL-Server-Instanz aus dem Internet, der DMZ oder unsicheren Netzen erreichbar ist.
• SQL-Logins prüfen und nicht benötigte oder übermässige Berechtigungen entfernen.
• Patches priorisieren, wenn eine Instanz aus dem Internet erreichbar ist oder ungepatchte Builds 2017 oder 2019 betrieben werden.
• CISA KEV und NVD erneut prüfen, sobald die Analyse veröffentlicht ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide msrc.microsoft.com
• CVE.org CVE Record www.cve.org
• Threatint CVE details cve.threatint.com
• Strix CVE-2026-116942 www.strix.ai
• Trinetriops November 2026 Patch Tuesday trinetriops.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:34.