Microsoft SQL Server: Rechteerweiterung durch unzureichende Berechtigungsprüfung

Zusammenfassung

Microsoft SQL Server enthält eine Schwachstelle durch unzureichende Berechtigungsprüfung, die es einem berechtigten Angreifer mit Netzwerkzugriff ermöglicht, seine Rechte zu erweitern. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten und einen Netzwerkpfad zum SQL Server; die Angriffskomplexität ist hoch und es ist keine Benutzerinteraktion nötig. Der CVSS-Wert beträgt 7.5 (hoch), und die Analyse durch die NVD war zum Zeitpunkt der Recherche noch ausstehend.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis unter 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis unter 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis unter 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis unter 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis unter 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis unter 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis unter 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis unter 17.0.1155.3

Behoben in

• Installieren Sie das Sicherheitsupdate von Microsoft für Ihren Zweig, das Builds ab der oberen Grenze der unter Betroffen aufgeführten Bereiche bereitstellt (zum Beispiel 14.0.2150.2, 15.0.2210.4, 16.0.1220.3, 17.0.1155.3). Prüfen Sie dies auf MSRC.
• KB-Artikelnummern: Unbekannt.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden, da ein Patch verfügbar ist.

• Allgemeine Härtung (nicht aus der Warnung): Rollen mit Sysadmin-Rechten einschränken und Konten mit erhöhten Rechten überprüfen.

Ausnutzung

• In den Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein.

Unsere Empfehlung

• Patchen Sie betroffene SQL-Server-Instanzen im nächsten Wartungsfenster gemäss den MSRC-Hinweisen für jeden Zweig. Erhöhen Sie die Priorität, wenn Instanzen aus Benutzernetzen erreichbar oder aus dem Internet zugänglich sind.
• Erfassen Sie die SQL-Server-Versionen und prüfen Sie die Build-Nummern gegen MSRC.
• Überprüfen Sie Konten, die sich bei betroffenen Instanzen authentifizieren können, insbesondere SQL-Logins von Webanwendungen, und entfernen Sie nicht benötigte erhöhte Rollen.
• Überwachen Sie ungewöhnliche Änderungen von Berechtigungen und Anmeldungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118108 msrc.microsoft.com
• CVE.org record CVE-2026-118108 www.cve.org
• Strix AI: CVE-2026-118108 www.strix.ai
• Threat Intelligence mirror: CVE-2026-118108 cve.threatint.com
• Rapid7: Patch Tuesday November 2026 review www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:41.