Microsoft SQL Server: Rechteerweiterung über SQL-Injection

Zusammenfassung

Microsoft SQL Server 2017, 2019, 2022 und 2025 enthält eine als SQL-Injection (CWE-89) eingestufte Schwachstelle, die einem autorisierten Angreifer mit geringen Rechten erlaubt, seine Rechte lokal auf dem Datenbankserver zu erweitern. Für die Ausnutzung ist lokaler Zugriff nötig und die Angriffskomplexität ist hoch. Der CVE-Eintrag von Microsoft und die Bewertung von CISA SSVC zeigen keine bekannte Ausnutzung, und es wurde kein öffentlicher Proof of Concept gefunden.

Betroffen

• SQL Server 2017 GDR: 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 CU31 (x64): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 GDR: 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 CU32 (x64): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 GDR: 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 CU27 (x64): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 GDR (x64): 17.0.1050.2 bis vor 17.0.1155.3

Behoben in

• SQL Server 2017 GDR: Build 14.0.2150.2 (KB5132749, im vollständigen Artikel prüfen)
• SQL Server 2017 CU31: Build 14.0.3570.2 (KB-Nummer unbekannt)
• SQL Server 2019 GDR: Build 15.0.2210.4 (KB5132751)
• SQL Server 2019 CU32 GDR: Build 15.0.4510.2 (KB5132745)
• SQL Server 2022 GDR: Build 16.0.1220.3 (KB5132747)
• SQL Server 2022 CU27 GDR2: Build 16.0.4315.2 (KB5129300)
• SQL Server 2025 CU10 GDR: Build 17.0.5045.3 (KB5129299)
• SQL Server 2025 GDR: Build 17.0.1155.3 (KB5132748)

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround gefunden; das Einspielen des Patches ist die verfügbare Massnahme. Merge-Replikation könnte im Umfeld der Korrektur relevant sein, dies ist jedoch nicht bestätigt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• CVSS-Temporal-Bewertung der Exploit-Reife: Unbewiesen (E:U).
• Kein öffentlicher Proof of Concept gefunden; dies ist nicht als nicht vorhanden bestätigt.
• NVD-Status zum Zeitpunkt der Veröffentlichung: Awaiting Analysis.

Unsere Empfehlung

• Alle SQL-Server-Instanzen und deren Builds inventarisieren.
• Das GDR- oder CU-Update von November 2026 für jeden Zweig im regulären Wartungsfenster einspielen.
• Konten mit Datenbankzugriff auf niedriger Rechtestufe überprüfen und nicht benötigte Rechte entfernen.
• Prüfen, ob Merge-Replikation aktiviert ist, und die Korrektur im vollständigen Microsoft-KB-Artikel verifizieren.
• Das MSRC-Advisory vor der Fertigstellung des Kundenberichts erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-118116 msrc.microsoft.com
• CVE Record CVE-2026-118116 www.cve.org
• KB5132751 SQL Server 2019 GDR (November 2026) support.microsoft.com
• KB5132748 SQL Server 2025 GDR (November 2026) support.microsoft.com
• KB5132747 SQL Server 2022 GDR (November 2026) support.microsoft.com
• KB5129299 SQL Server 2025 CU10 GDR (November 2026) support.microsoft.com
• KB5132749 SQL Server 2017 GDR (November 2026) support.microsoft.com
• CVE-2026-118116 on cve.threatint.com cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 08:56.