Microsoft SQL Server: SQL-Injection führt zu Berechtigungserhöhung

Zusammenfassung

Microsoft SQL Server enthält eine SQL-Injection-Schwachstelle (CWE-89), mit der ein berechtigter Angreifer mit gültigem Konto seine Rechte über das Netzwerk erhöhen kann. Der CVSS-3.1-Basiswert beträgt 8.0 (hoch). Für die Ausnutzung sind niedrige Berechtigungen und eine Benutzerinteraktion nötig, daher besteht das Risiko vor allem durch Insider, kompromittierte Applikations- oder Dienstkonten oder Angreifer, die sich bereits im Netzwerk befinden.

Betroffen

• SQL Server 2017 GDR: 14.0.0 bis vor 14.0.2150.2
• SQL Server 2017 CU31 (x64): 14.0.3006.16 bis vor 14.0.3570.2
• SQL Server 2019 GDR: 15.0.0 bis vor 15.0.2210.4
• SQL Server 2019 CU32 (x64): 15.0.4003.23 bis vor 15.0.4510.2
• SQL Server 2022 GDR: 16.0.0 bis vor 16.0.1220.3
• SQL Server 2022 CU27 (x64): 16.0.4003.1 bis vor 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
• SQL Server 2025 GDR (x64): 17.0.1050.2 bis vor 17.0.1155.3

Behoben in

Die Patches wurden am 10. November 2026 veröffentlicht. Laut Sekundärquellen lauten die korrigierten Builds 14.0.3570.2 (2017 CU31 und GDR), 15.0.2210.4 (2019 GDR), 15.0.4510.2 (2019 CU32), 16.0.1220.3 (2022 GDR), 16.0.4315.2 (2022 CU27), 17.0.5045.3 (2025 CU10) und 17.0.1155.3 (2025 GDR). Alle Builds und die zugehörigen KB-Artikel vor dem Rollout auf MSRC prüfen.

Umgehung

• Kein vom Hersteller dokumentierter Workaround gefunden. Unbekannt, ob MSRC eine konfigurationsbasierte Massnahme auflistet.
• Das Sicherheitsupdate auf unterstützten Versionen einspielen; dann ist kein Workaround nötig.

Ausnutzung

• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Exploit-Reife laut CVE-Eintrag: unbewiesen.
• Rapid7 stuft die Ausnutzung als weniger wahrscheinlich ein; keine öffentliche Offenlegung bekannt.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• SQL-Server-Instanzen im nächsten regulären Wartungsfenster patchen, zuerst Produktivserver mit vielen Applikationskonten.
• Jegliche Internetexposition der SQL-Server-Ports sofort entfernen.
• SQL-Logins und Datenbankrollen auf das nötige Minimum beschränken (Least Privilege).
• Applikationscode auf dynamisches SQL prüfen, das aus Benutzereingaben aufgebaut wird.
• Upgrades für SQL-Server-2017-Instanzen planen; GDR-Sicherheitsupdates sind bis 12. Oktober 2027 vorgesehen.
• Betroffene Builds vor der Verteilung auf MSRC verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-118118 (CNA: Microsoft) www.cve.org
• Microsoft Security Update Guide CVE-2026-118118 msrc.microsoft.com
• Strix: CVE-2026-118118 version ranges www.strix.ai
• CVE details and CVSS vector (threatint) cve.threatint.com
• Patch build list November 2026 (updatebureau) updatebureau.com
• Microsoft KB5132748 (SQL Server 2025 GDR) support.microsoft.com
• Rapid7 Patch Tuesday November 2026 www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:53.