Microsoft SQL Server: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution
Zusammenfassung
Ein heap-basierter Pufferüberlauf in Microsoft SQL Server 2022 (CU27, x64) und SQL Server 2025 (CU10) erlaubt einem berechtigten Angreifer, über das Netzwerk Code auszuführen. Der Angreifer benötigt einen gültigen Datenbank-Login mit niedrigen Berechtigungen, und die Angriffskomplexität ist hoch, weshalb die Ausnutzung nicht trivial ist. Der CVSS-Basiswert beträgt 7.5 (Hoch), wobei Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit möglich sind.
Betroffen
- SQL Server 2022 for x64-based Systems (CU27): 16.0.4003.1 bis vor 16.0.4315.2
- SQL Server 2025 CU10: 17.0.4006.0 bis vor 17.0.5045.3
- Andere Branches (z. B. SQL Server 2019, 2017, GDR): Unbekannt.
Behoben in
- SQL Server 2022 CU27: 16.0.4315.2 oder neuer (Update-Paket laut Meldung KB 5129300, zu verifizieren)
- SQL Server 2025 CU10: 17.0.5045.3 oder neuer (Update-Paket laut Meldung KB 5129299, zu verifizieren)
Umgehung
- Unbekannt. Kein Workaround des Herstellers identifiziert; das Einspielen des Patches ist die genannte Massnahme.
Ausnutzung
- Derzeit keine bestätigte Ausnutzung. Der CVSS-Exploit-Reifegrad ist 'Unproven' und CISA SSVC führt die Ausnutzung als none.
- Kein öffentlicher Proof of Concept gefunden.
- Der NVD-Status lautet weiterhin 'Awaiting Analysis'.
Unsere Empfehlung
- Die Build-Nummer jeder SQL-Server-Instanz prüfen.
- Das korrigierte kumulative Update auf betroffenen CU27- und CU10-Instanzen prioritär einspielen.
- Den Status älterer Branches anhand der Herstellerinformation von Microsoft prüfen.
- Sicherstellen, dass Port 1433 und verwandte Dienste nicht aus dem Internet erreichbar sind, und den Zugriff auf bekannte Applikationsserver beschränken.
- Konten mit sysadmin-Rechten und gemeinsam genutzte Datenbankkonten einschränken.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MSRC Security Update Guide: CVE-2026-88111 msrc.microsoft.com
- CVE Record CVE-2026-88111 www.cve.org
- Strix AI: CVE-2026-88111 www.strix.ai
- NTCompatible: November 2026 Patch Tuesday www.ntcompatible.com
- SQL Server build list sqlserverbuilds.blogspot.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.