Microsoft SQL Server: Remote Code Execution durch Heap-basierten Pufferüberlauf

Zusammenfassung

Ein Heap-basierter Pufferüberlauf in Microsoft SQL Server erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor stuft die Angriffskomplexität als hoch ein, die Ausnutzung ist daher nicht trivial. Ein erfolgreicher Angriff könnte zur vollständigen Kompromittierung der Datenbank und zur möglichen Übernahme des Hosts führen.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 CU31 (x64): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 CU32 (x64): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 CU27 (x64): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 GDR (x64): 17.0.1050.2 bis vor 17.0.1155.3

Ältere Versionen wie SQL Server 2016 und 2014 sind nicht aufgeführt. Ihr Status ist unbekannt.

Behoben in

Gemäss CVE-Eintrag sind die ersten korrigierten Builds:

• 14.0.2150.2 (2017 GDR)
• 14.0.3570.2 (2017 CU31)
• 15.0.2210.4 (2019 GDR)
• 15.0.4510.2 (2019 CU32)
• 16.0.1220.3 (2022 GDR)
• 16.0.4315.2 (2022 CU27)
• 17.0.5045.3 (2025 CU10)
• 17.0.1155.3 (2025 GDR)

Den exakten Build vor dem Ausrollen im MSRC-Advisory bestätigen.

Umgehung

Unbekannt. In den Quellen wird kein Workaround erwähnt. Den Herstellerfix einspielen.

• Allgemeine Massnahme, nicht aus einer Quelle: Zugriff auf TCP 1433 und dynamische Ports auf benötigte Clients beschränken.

Ausnutzung

• In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Ein Eintrag im CISA-KEV-Katalog konnte nicht bestätigt werden. Den Katalog direkt prüfen.

Unsere Empfehlung

• Alle SQL-Server-Instanzen inventarisieren, auch jene in Fachanwendungen eingebettet, und deren Builds mit der obigen Liste vergleichen.
• Aus dem Internet erreichbare und breit zugängliche Instanzen zuerst patchen, danach die übrigen im normalen Patch-Zyklus.
• SQL Server nicht über öffentliche IP-Adressen erreichbar machen und hinter einer Firewall oder einem VPN betreiben.
• Den Build nach dem Patchen überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118106 msrc.microsoft.com
• CVE Record CVE-2026-118106 (CNA: Microsoft) www.cve.org
• CVE-2026-118106 mirror with build list and CVSS temporal vector cve.threatint.com
• Strix.ai affected-build summary CVE-2026-118106 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:44.