Microsoft SQL Server: SQL-Injection ermöglicht Rechteausweitung

Zusammenfassung

Microsoft SQL Server enthält eine SQL-Injection-Schwachstelle (CWE-89), die einem berechtigten Angreifer über das Netzwerk eine Rechteausweitung erlaubt. Gemäss CVSS-Vektor setzt die Ausnutzung ein gültiges SQL- oder Domänenkonto mit niedrigen Rechten sowie eine Benutzerinteraktion voraus. Die Schwachstelle ist mit Hoch (CVSS 3.1 8.0) bewertet, und Microsoft hat einen Patch veröffentlicht. Stand 11. November 2026 wurden weder ein öffentlicher Exploit noch eine Ausnutzung in freier Wildbahn gemeldet.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 für x64 (CU31): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 für x64 (CU32): 15.0.4003.23 bis vor 15.0.4510.2 (aus einer Drittquelle, zu verifizieren)
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 für x64 (CU27): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 für x64 (GDR): 17.0.1050.2 bis vor 17.0.1155.3

Der CVE-Eintrag war stellenweise unvollständig; die vollständige Produktliste ist auf MSRC zu prüfen.

Behoben in

• SQL Server 2017 (GDR): 14.0.2150.2
• SQL Server 2017 CU31: 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.2210.4
• SQL Server 2019 CU32: 15.0.4510.2 (nicht verifiziert)
• SQL Server 2022 (GDR): 16.0.1220.3
• SQL Server 2022 CU27: 16.0.4315.2
• SQL Server 2025 CU10: 17.0.5045.3
• SQL Server 2025 für x64 (GDR): 17.0.1155.3

Die korrigierten Versionen sind jeweils die ersten Versionen nach dem betroffenen Bereich; sie sind mit dem MSRC-Advisory abzugleichen.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers identifiziert; der Patch ist die genannte Massnahme.

• Bis zur Aktualisierung die SQL-Logins und die Berechtigungen der Anwendungskonten einschränken.
• Port 1433 und den SQL Server Browser vom Internet fernhalten (allgemeine Praxis, nicht vom Hersteller).

Ausnutzung

• Kein öffentlicher Proof of Concept und keine bekannte Ausnutzung in freier Wildbahn Stand 11. November 2026.
• Rapid7 bewertet die Schwachstelle mit 'Exploitation Less Likely'. Die CVSS-Reife der Ausnutzung ist Unproven (E:U).
• In der Recherche nicht im CISA-KEV-Katalog gefunden; dies sollte direkt geprüft werden.

Unsere Empfehlung

• Alle SQL-Server-Instanzen und deren Versionen erfassen und mit den korrigierten Versionen vergleichen.
• Das Microsoft-Update installieren, zuerst bei internen SQL-Servern, die von Anwendungs- oder Dienstkonten erreicht werden können.
• Sicherstellen, dass keine SQL-Server-Instanz aus dem Internet erreichbar ist.
• Gemeinsam genutzte Dienstkonten prüfen und unnötige Berechtigungen entfernen.
• Auf ungewöhnliche SQL-Aktivitäten und Änderungen von Berechtigungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-118117 www.cve.org
• Microsoft Security Update Guide CVE-2026-118117 msrc.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com
• Strix CVE-2026-118117 (third-party mirror) www.strix.ai
• threatint CVE-2026-118117 (third-party aggregator) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:53.