Microsoft SQL Server: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft SQL Server erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor setzt eine hohe Angriffskomplexität und niedrige Berechtigungen voraus, daher benötigt der Angreifer ein gültiges Datenbank- oder Login-Konto. CISA SSVC bewertet die Ausnutzung als keine und die Automatisierbarkeit als nein, und es wurde kein öffentlicher Proof of Concept gefunden.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis < 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis < 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis < 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis < 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis < 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis < 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis < 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis < 17.0.1155.3

Hinweis: Die betroffenen Bereiche stammen aus dem offiziellen CVE-Eintrag. Drittquellen weichen bei einigen unteren Grenzen ab, daher sind sie gegen MSRC zu prüfen.

Behoben in

Unbekannt. Die korrigierten Builds konnten im MSRC-Advisory nicht bestätigt werden. Den korrigierten Build pro Branch im MSRC Security Update Guide prüfen.

Umgehung

Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert. Das Sicherheitsupdate ist die primäre Massnahme.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: Keine Hinweise gefunden.
• Öffentlicher Proof of Concept: Keiner gefunden.
• CISA SSVC: Ausnutzung keine, Automatisierbarkeit nein, technische Auswirkung total.

Unsere Empfehlung

• Alle SQL-Server-Instanzen und deren genaue Builds inventarisieren.
• Jeden Build mit dem MSRC-Advisory vergleichen und den korrigierten Build des jeweiligen Branches installieren.
• Sicherstellen, dass keine SQL-Server-Instanz (einschliesslich Port 1433 und SQL Browser) aus dem Internet erreichbar ist.
• Konten prüfen, die sich an SQL Server anmelden können, nicht benötigte Konten entfernen und starke Passwörter sowie MFA erzwingen, sofern unterstützt.
• Instanzen priorisieren, die von vielen Mitarbeitenden oder von Anwendungen mit gemeinsamen Dienstkonten genutzt werden.
• Nach dem Patchen auf ungewöhnliche Datenbank-Logins oder Abstürze achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-116947 msrc.microsoft.com
• CVE.org record: CVE-2026-116947 www.cve.org
• Strix: CVE-2026-116947 www.strix.ai
• Threatint: CVE-2026-116947 cve.threatint.com
• Microsoft KB5132748 (SQL Server 2025 GDR, November 2026) support.microsoft.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:40.