Microsoft SQL Server: Remote Code Execution durch Deserialisierung

Zusammenfassung

Microsoft SQL Server enthält eine Deserialisierungsschwachstelle (CWE-502), die einem authentifizierten Angreifer die Ausführung von Code über das Netzwerk erlaubt. Der Angreifer benötigt einen gültigen Login, aber keine Aktion eines Benutzers, und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft. Microsoft hat Korrekturen für die betroffenen Builds veröffentlicht, und CISA stuft die Ausnutzung gemäss SSVC als nicht vorhanden ein, dennoch bleibt ein Risiko für internetexponierte oder privilegierte Instanzen.

Betroffen

• SQL Server 2019 (GDR): 15.0.0 bis vor 15.0.2200.2
• SQL Server 2019 x64 (CU32): 15.0.4003.23 bis vor 15.0.4500.2
• SQL Server 2022 (GDR): 16.0.0 bis vor 16.0.1210.3
• SQL Server 2022 x64 (CU27): 16.0.4003.1 bis vor 16.0.4305.5
• SQL Server 2025 x64 (CU9): 17.0.4006.2 bis vor 17.0.5015.4
• SQL Server 2025 x64 (GDR): 17.0.1050.2 bis vor 17.0.1145.4 (Microsofts Tabelle beginnt bei 17.0.1000.7, zu überprüfen)
• SQL Server 2017: in Microsofts Tabelle enthalten, nicht im CVE-Eintrag; bis zur Bestätigung durch MSRC als betroffen behandeln

Behoben in

• SQL Server 2025 CU9+GDR: 17.0.5015.4 (Update 5126967)
• SQL Server 2025 RTM+GDR: 17.0.1145.4 (Update 5128492)
• SQL Server 2022 CU27+GDR1: 16.0.4305.5 (KB5126934)
• SQL Server 2022 RTM+GDR: 16.0.1210.3 (Update 5128493)
• SQL Server 2019 CU32+GDR: 15.0.4500.2 (Update 5128494)
• SQL Server 2019 RTM+GDR: 15.0.2200.2 (Update 5128495)
• SQL Server 2017 CU31+GDR: 14.0.3560.2 (Update 5128496)
• SQL Server 2017 RTM+GDR: 14.0.2140.2 (Update 5128497)

Umgehung

• Vom Hersteller ist kein Workaround dokumentiert.
• Bis zur Korrektur die Hosts, die auf SQL-Server-Ports zugreifen können, einschränken, den Dienst mit einem Konto mit minimalen Rechten betreiben und Logins sowie aktuelle Aktivitäten auf Instanzen prüfen, die aus dem Internet erreichbar waren.

Ausnutzung

• Bis 31. Okt. 2026 wurde keine Ausnutzung in freier Wildbahn festgestellt; der CISA-KEV-Hinweis vom 23. Okt. 2026 betrifft eine andere CVE.
• Kein öffentlicher Proof-of-Concept bekannt; Tenable meldet keine bekannten Exploits.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Das Sicherheitsupdate vom Oktober 2026 für jede verwendete SQL-Server-Version und jeden Branch einspielen.
• Alle SQL-Server-Instanzen erfassen und zuerst jene prüfen, die aus dem Internet erreichbar sind oder unter privilegierten Dienstkonten laufen.
• Den Netzwerkzugriff auf SQL-Server-Ports einschränken und starke, eindeutige Passwörter erzwingen.
• Logins und Aktivitätsprotokolle exponierter Instanzen auf Missbrauch prüfen.
• Herstellerhinweise und CISA-Meldungen auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-65674 msrc.microsoft.com
• Microsoft KB5126934: SQL Server 2022 CU27 GDR, October 2026 support.microsoft.com
• Tenable plugin 365626 www.tenable.com
• Tenable plugin 365627 www.tenable.com
• CISA KEV alert, 23 Oct 2026 www.cisa.gov
• Dark Reading: Microsoft October 2026 Patch Tuesday www.darkreading.com
• Senserva KB 5126934 senserva.com
• Offseq threat radar: CVE-2026-65674 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:08.