Microsoft SQL Server: Heap-basierter Pufferüberlauf ermöglicht Remote Code Execution

Zusammenfassung

Ein heap-basierter Pufferüberlauf in Microsoft SQL Server erlaubt einem autorisierten Angreifer, über das Netzwerk Code auszuführen. Der Angreifer benötigt ein gültiges Konto mit niedrigen Privilegien, eine Benutzerinteraktion ist nicht erforderlich. Eine erfolgreiche Ausnutzung könnte zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des Datenbankservers führen.

Betroffen

• SQL Server 2017 (GDR): 14.0.0 bis unter 14.0.2150.2 (nicht verifiziert)
• SQL Server 2017 x64 (CU31): 14.0.3006.16 bis unter 14.0.3570.2 (nicht verifiziert)
• SQL Server 2019 (GDR): 15.0.0 bis unter 15.0.2210.4 (nicht verifiziert)
• SQL Server 2019 x64 (CU32): 15.0.4003.23 bis unter 15.0.4510.2 (nicht verifiziert)
• SQL Server 2022 (GDR): 16.0.0 bis unter 16.0.1220.3 (nicht verifiziert)
• SQL Server 2022 x64 (CU27): 16.0.4003.1 bis unter 16.0.4315.2 (nicht verifiziert)
• SQL Server 2025 CU10: 17.0.4006.0 bis unter 17.0.5045.3 (nicht verifiziert)
• SQL Server 2025 x64 (GDR): 17.0.1050.2 bis unter 17.0.1155.3 (nicht verifiziert)

Behoben in

• Die korrigierten Builds müssen vor der Bereitstellung im MSRC Update Guide bestätigt werden.
• Sekundäre Quellen nennen für SQL Server 2017 (GDR) 14.0.2150.2 und für CU31 14.0.3570.2, Microsofts KB zum GDR-Release von Oktober 2026 für 2017 nennt jedoch 14.0.2140.2. Dieser Widerspruch ist nicht aufgelöst.
• Weitere korrigierte Builds: Unbekannt.

Umgehung

Unbekannt.

Ausnutzung

• Laut OffSeq ist nicht bekannt, dass die Schwachstelle ausgenutzt wird; eine Bestätigung durch Microsoft oder den CISA KEV fehlt.
• Ein Patch-Tuesday-Überblick vom November 2026 meldet eine ausgenutzte Schwachstelle, diese lässt sich jedoch nicht diesem CVE zuordnen.
• Öffentlicher Proof of Concept: Unbekannt.

Unsere Empfehlung

• Den MSRC-Eintrag lesen und den korrigierten Build für jeden installierten SQL-Server-Zweig (2017, 2019, 2022, 2025) bestätigen.
• Alle SQL-Server-Instanzen und deren Builds inventarisieren, einschliesslich GDR- und CU-Versionen.
• Im nächsten Wartungsfenster patchen, früher, wenn SQL Server aus nicht vertrauenswürdigen Netzen erreichbar ist.
• Direkten Internetzugriff auf SQL-Server-Ports blockieren und SQL-Logins auf das notwendige Minimum beschränken.
• Konten mit Anmeldeberechtigung prüfen und nicht benötigte entfernen.
• Upgrades für jede noch genutzte SQL-Server-2017-Instanz planen, da der Mainstream-Support beendet ist.
• NVD und CISA KEV nach Abschluss der Analyse erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Update Guide: CVE-2026-94511 msrc.microsoft.com
• OffSeq Radar: CVE-2026-94511 radar.offseq.com
• Microsoft KB5128497: SQL Server 2017 GDR October 2026 support.microsoft.com
• TriNetri Ops: November 2026 Patch Tuesday trinetriops.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:55.