Microsoft SQL Server: SQL-Injection führt zu Rechteausweitung

Zusammenfassung

Microsoft SQL Server enthält eine SQL-Injection-Schwachstelle (CWE-89), die es einem berechtigten Angreifer erlaubt, seine Rechte über das Netzwerk zu erweitern. Der Angreifer benötigt ein gültiges Datenbank-Login mit geringen Rechten und Netzwerkzugriff auf den Server. Ein erfolgreicher Angriff kann je nach CVSS-Vektor die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Die NVD-Analyse war zum Zeitpunkt der Erstellung noch ausstehend.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis unter 14.0.2150.2
• SQL Server 2017 für x64-basierte Systeme (CU31): 14.0.3006.16 bis unter 14.0.3570.2
• SQL Server 2019 (GDR): 15.0.0 bis unter 15.0.2210.4
• SQL Server 2019 für x64-basierte Systeme (CU32): 15.0.4003.23 bis unter 15.0.4510.2
• SQL Server 2022 (GDR): 16.0.0 bis unter 16.0.1220.3
• SQL Server 2022 für x64-basierte Systeme (CU27): 16.0.4003.1 bis unter 16.0.4315.2
• SQL Server 2025 CU10: 17.0.4006.0 bis unter 17.0.5045.3
• SQL Server 2025 für x64-basierte Systeme (GDR): 17.0.1050.2 bis unter 17.0.1155.3

Behoben in

• Installieren Sie das Sicherheitsupdate von Microsoft für Ihre SQL-Server-Version und Ihren Build.
• Die korrigierten Builds dürften den unter betroffen aufgeführten Obergrenzen entsprechen. Die genauen Build-Nummern und KB-Artikel sind im MSRC-Advisory zu bestätigen.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers identifiziert. Bis zur Installation des Updates das Risiko reduzieren: Mitgliedschaften in der Rolle sysadmin und anderen Rollen mit hohen Rechten prüfen, gewöhnliche Datenbank-Logins einschränken und den Netzwerkzugriff auf die SQL-Server-Ports begrenzen.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Es wurde kein öffentlicher Proof of Concept gefunden. CISA KEV und GitHub wurden nicht direkt geprüft.

Unsere Empfehlung

• Erfassen Sie alle SQL-Server-Instanzen, einschliesslich der GDR- und CU-Builds der Versionen 2017, 2019, 2022 und 2025.
• Spielen Sie das Sicherheitsupdate von Microsoft so bald wie möglich auf jeden betroffenen Build ein.
• Prüfen Sie, welche Konten sich anmelden können, und entfernen Sie nicht benötigte Mitgliedschaften mit hohen Rechten.
• Beschränken Sie den Netzwerkzugriff auf die SQL-Server-Ports und prüfen Sie, ob Instanzen aus dem Internet oder aus weniger vertrauenswürdigen Netzsegmenten erreichbar sind.
• Überwachen Sie die Protokolle auf ungewöhnliche Rechteänderungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center advisory CVE-2026-118120 msrc.microsoft.com
• CVE.org record CVE-2026-118120 www.cve.org
• Strix CVE-2026-118120 details www.strix.ai
• ThreatInt CVE-2026-118120 details cve.threatint.com
• Vulners PT-2026-118120 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:31.