Microsoft SQL Server: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft SQL Server erlaubt Remote Code Execution über das Netzwerk. Ein Angreifer benötigt ein gültiges Datenbankkonto mit niedrigen Privilegien, und die Ausnutzung wird mit hoher Komplexität bewertet. Ein erfolgreicher Angriff kann Vertraulichkeit, Integrität und Verfügbarkeit des Datenbankservers vollständig beeinträchtigen, wobei der Scope verändert wird.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis unter 14.0.2140.2
• SQL Server 2017 for x64-based Systems (CU31): 14.0.3006.16 bis unter 14.0.3560.2
• SQL Server 2019 (GDR): 15.0.0 bis unter 15.0.2200.2
• SQL Server 2019 for x64-based Systems (CU32): 15.0.4003.23 bis unter 15.0.4500.2
• SQL Server 2022 (GDR): 16.0.0 bis unter 16.0.1210.3
• SQL Server 2022 for x64-based Systems (CU27): 16.0.4003.1 bis unter 16.0.4305.5
• SQL Server 2025 for x64-based Systems (CU9): 17.0.4006.2 bis unter 17.0.5015.4
• SQL Server 2025 for x64-based Systems (GDR): 17.0.1050.2 bis unter 17.0.1145.4 (MSRC-Tabelle nennt eine untere Grenze von 17.0.1000.7; Build prüfen)

Behoben in

• SQL Server 2017 (GDR): 14.0.2140.2 via KB5128497
• SQL Server 2017 CU31: 14.0.3560.2 (aus dem CVE-Eintrag abgeleitet; gegen KB5128496 prüfen)
• SQL Server 2019 (GDR): 15.0.2200.2 via KB5128495
• SQL Server 2019 CU32: 15.0.4500.2 via KB5128494
• SQL Server 2022 (GDR): 16.0.1210.3 via KB5128493
• SQL Server 2022 CU27: 16.0.4305.5 via KB5126934
• SQL Server 2025 CU9: 17.0.5015.4 via KB5126967
• SQL Server 2025 RTM GDR: 17.0.1145.4 via KB5128492

Umgehung

In den Quellen ist keine patch-unabhängige Workaround- oder Mitigationsmassnahme dokumentiert. Das Oktober-2026-Sicherheitsupdate für den eigenen SQL-Server-Zweig installieren.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Gemäss Senserva nicht als ausgenutzt gelistet; EPSS unter 1 Prozent.
• Gemäss Tenable sind keine bekannten Exploits verfügbar; es wurde kein öffentlicher Proof of Concept gefunden, die CVE ist jedoch neu.

Unsere Empfehlung

• On-premises-SQL-Server mit dem kumulativen Oktober-2026-Update im nächsten regulären Wartungsfenster patchen, bei Internetexposition früher.
• Prüfen, ob ein SQL Server aus dem Internet erreichbar ist, und den Zugriff auf Applikationsserver und Admin-Netze beschränken.
• Konten mit Datenbankzugriff überprüfen und nicht benötigte Berechtigungen entfernen.
• Das gesamte kumulative Update installieren, das auch CVE-2026-68883 und CVE-2026-88081 behebt.
• Datenbankserver auf ungewöhnliche Logins und Prozessaktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-85886 msrc.microsoft.com
• MSRC advisory table (en-US) msrc.microsoft.com
• KB5128497: SQL Server 2017 October 2026 update support.microsoft.com
• KB5128493: SQL Server 2022 October 2026 update support.microsoft.com
• CVE record summary (threatint) cve.threatint.com
• Strix CVE summary www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:41.