Microsoft WDAC OLE DB provider for SQL: Heap-based buffer overflow

Zusammenfassung

Ein Heap-based Buffer Overflow (CWE-122) im Microsoft WDAC OLE DB provider for SQL erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-3.1-Basiswert beträgt 8.8. Laut Vektor sind keine Berechtigungen nötig, aber eine Benutzerinteraktion, weshalb der Angriff vor allem über Client-Arbeitsstationen oder Anwendungen, die sich mit SQL-Datenbanken verbinden, erfolgen dürfte. NVD hatte die Analyse zum Zeitpunkt der Erstellung noch nicht abgeschlossen.

Betroffen

• Windows 10 Version 1607 (Builds 10.0.14393.0 bis < 10.0.14393.9612)
• Windows 10 Version 1809 (Builds 10.0.17763.0 bis < 10.0.17763.9376)
• Windows 10 Version 21H2 (Builds 10.0.19044.0 bis < 10.0.19044.7807)
• Windows 10 Version 22H2 (Builds 10.0.19045.0 bis < 10.0.19045.7807)
• Windows 11 Version 23H2 (Builds 10.0.22631.0 bis < 10.0.22631.7652)
• Windows 11 Version 24H2 (Builds 10.0.26100.0 bis < 10.0.26100.9711)
• Windows 11 Version 25H2 (Builds 10.0.26200.0 bis < 10.0.26200.9711)
• Windows 11 Version 26H1 (Builds 10.0.28000.0 bis < 10.0.28000.3231)
• Windows 11 Version 26H2 (Builds 10.0.26300.0 bis < 10.0.26300.9711)
• Windows Server 2012 inkl. Server Core (Builds 6.2.9200.0 bis < 6.2.9200.26434)
• Windows Server 2012 R2 inkl. Server Core (Builds 6.3.9600.0 bis < 6.3.9600.23470)
• Windows Server 2016 (Builds 10.0.14393.0 bis < 10.0.14393.9612)

Behoben in

• Der CVE-Eintrag nennt für jedes Produkt den ersten nicht betroffenen Build, zum Beispiel 10.0.14393.9612 für Windows 10 1607 und Server 2016 sowie 10.0.26100.9711 für Windows 11 24H2.
• Windows 10 1607 und Server 2016 sind nur so weit patchbar, wie Microsoft noch Updates bereitstellt.
• Die KB-Nummern wurden nicht verifiziert. Die genauen Updates sind im MSRC-Advisory zu prüfen.

Umgehung

Unbekannt. In den Quellen wurde keine Workaround gefunden. Bis ein Patch installiert ist, sollte der Zugriff auf SQL-verbundene Anwendungen eingeschränkt und betroffene Altsysteme isoliert werden. Jede Massnahme ist mit der MSRC-Anleitung abzugleichen.

Ausnutzung

• Laut einer einzelnen, maschinell erstellten Zusammenfassung eines Aggregators ist keine Ausnutzung bekannt.
• Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden.
• Dieser Status ist weder vom Hersteller noch durch CISA KEV bestätigt.

Unsere Empfehlung

• Das MSRC-Advisory prüfen und die betroffenen Builds sowie KB-Nummern erfassen.
• Alle Windows-Systeme inventarisieren, insbesondere Windows 10 1607 und Server 2016 mit SQL-verbundener Software, und als hohe Priorität behandeln.
• Sobald das Update für den eigenen Build verfügbar ist, installieren. Systeme ohne weitere Updates ersetzen.
• Netzwerkzugriff auf Datenbankdienste einschränken und nicht vertrauenswürdige Datenquellen begrenzen.
• NVD, CISA KEV und die MSRC-Seite auf Änderungen überwachen, da der Eintrag neu ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-85839 msrc.microsoft.com
• OffSeq: CVE-2026-85839 (secondary, machine-generated) radar.offseq.com
• Vulners: CVE-2026-72933 (related sibling CVE, secondary) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:01.