Microsoft SQL Server: Erhöhung von Berechtigungen durch SQL-Injection

Zusammenfassung

Eine SQL-Injection-Schwachstelle in Microsoft SQL Server erlaubt einem authentifizierten Angreifer, über das Netzwerk Berechtigungen zu erhöhen. Der Angreifer benötigt ein gültiges Datenbankkonto mit niedrigen Rechten und einen Angriff mit hoher Komplexität, und es ist keine Benutzerinteraktion erforderlich. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit der Datenbank beeinträchtigen.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis vor 17.0.1155.3
• Weitere Zweige: Unbekannt. Auf der MSRC-Seite prüfen.

Behoben in

• SQL Server 2017 (GDR): 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4315.2
• SQL Server 2025 CU10: 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1155.3

Umgehung

Keine Workaround des Herstellers gefunden. Das Einspielen von Patches ist die einzige dokumentierte Massnahme.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total
• Rapid7 (November 2026): Ausnutzung weniger wahrscheinlich, nicht öffentlich bekannt
• Keine bestätigte Ausnutzung und kein öffentlicher Proof of Concept gefunden
• Nicht im CISA-KEV-Katalog aufgeführt (in den Quellen nicht gefunden)

Unsere Empfehlung

• Alle betroffenen SQL-Server-Instanzen im Patch-Zyklus November 2026 aktualisieren, jeweils mit dem Build für den jeweiligen Zweig.
• Genaue Builds vor dem Rollout auf der Microsoft Security Update Guide Seite prüfen.
• Die weiteren SQL-Server-Schwachstellen zur Erhöhung von Berechtigungen im selben Update gleichzeitig einspielen (CVE-2026-118110, CVE-2026-118113, CVE-2026-118116).
• Netzwerkzugriff auf SQL Server einschränken und keinen Internetzugang zulassen.
• Datenbankkonten nach dem Least-Privilege-Prinzip einschränken und bestehende Konten mit gültigem Zugriff überprüfen.
• Prüfen, welche SQL-Server-Instanzen exponiert sind, und Datenbankprotokolle auf ungewöhnliche Aktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118114 msrc.microsoft.com
• CVE Record: CVE-2026-118114 www.cve.org
• Microsoft KB5132748 (SQL Server 2025 GDR, November 2026) support.microsoft.com
• Rapid7: Patch Tuesday November 2026 www.rapid7.com
• threatint: CVE-2026-118114 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:38.