Microsoft SQL Server: Remote Code Execution durch heapbasierten Pufferüberlauf
Zusammenfassung
Ein heapbasierter Pufferüberlauf in Microsoft SQL Server erlaubt es einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Gemäss CVSS-Vektor sind keine Berechtigungen und keine Benutzerinteraktion nötig, der Basiswert beträgt 9.8 (kritisch). Der Code würde unter dem Dienstkonto von SQL Server laufen, weshalb erreichbare Datenbankinstanzen das höchste Risiko tragen.
Betroffen
- SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
- SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
- SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
- SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2
- SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
- SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
- SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
- SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3
Behoben in
- Obere Grenzen der betroffenen Bereiche im CVE-Eintrag, die auf die ersten korrigierten Builds hinweisen: 14.0.2150.2, 14.0.3570.2, 15.0.2210.4, 15.0.4510.2, 16.0.1220.3, 16.0.4315.2, 17.0.5045.3, 17.0.1155.3
- Die korrigierten Builds vor dem Rollout im MSRC-Advisory bestätigen.
Umgehung
Unbekannt.
Ausnutzung
Unbekannt. Zum Zeitpunkt der Erstellung wurden für dieses CVE keine Ausnutzungsberichte oder öffentlichen Proof-of-Concept gefunden, der Eintrag ist jedoch neu und dies kann sich ändern.
Unsere Empfehlung
- Das MSRC-Advisory öffnen und die betroffenen und korrigierten Builds bestätigen.
- Alle SQL-Server-Instanzen (Version, Build, Edition) bei Kundenstandorten inventarisieren.
- Prüfen, ob ein SQL-Server-Port aus dem Internet, über Partner-VPNs oder aus Gastnetzen erreichbar ist, und den Zugriff umgehend einschränken.
- Das Herstellerupdate einspielen, sobald es bestätigt ist, wo nötig zuerst testen.
- Berechtigungen der Dienstkonten prüfen und die SQL-Server-Logs bis zur Behebung auf ungewöhnliche Aktivitäten überwachen.
Angaben von Microsoft (Patch Tuesday November 2026)
- Schweregrad (Microsoft)
- Hoch
- Auswirkung
- Remotecodeausführung – SQL Server
- Stand am Patch Tuesday
- Weder ausgenutzt noch öffentlich bekannt
- Einschätzung der Ausnutzbarkeit
- Ausnutzung weniger wahrscheinlich
- Produktfamilie
- SQL Server
- Updates (KB)
- KB5129299, KB5132747, KB5132749, KB5129300, KB5132745, KB5132748
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide: CVE-2026-116945 msrc.microsoft.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.