Microsoft SQL Server: Remote Code Execution durch Heap-basierten Pufferüberlauf
Zusammenfassung
Mehrere unterstützte Versionen von Microsoft SQL Server (2017, 2019, 2022 und 2025) enthalten einen Heap-basierten Pufferüberlauf. Ein berechtigter Angreifer kann diesen über das Netzwerk ausnutzen, um Code auszuführen. Der CVSS-Wert 8.8 (Hoch) setzt niedrige Berechtigungen und keine Benutzerinteraktion voraus. CISA SSVC stuft die technischen Auswirkungen als total ein, die Ausnutzung ist jedoch nicht automatisierbar.
Betroffen
- SQL Server 2017 (GDR): 14.0.0 vor 14.0.2140.2
- SQL Server 2017 x64 (CU31): 14.0.3006.16 vor 14.0.3560.2
- SQL Server 2019 (GDR): 15.0.0 vor 15.0.2200.2
- SQL Server 2019 x64 (CU32): 15.0.4003.23 vor 15.0.4500.2
- SQL Server 2022 (GDR): 16.0.0 vor 16.0.1210.3
- SQL Server 2022 x64 (CU27): 16.0.4003.1 vor 16.0.4305.5
- SQL Server 2025 x64 (CU9): 17.0.4006.2 vor 17.0.5015.4
- SQL Server 2025 x64 (GDR): 17.0.1050.2 vor 17.0.1145.4
Behoben in
- SQL Server 2017 GDR: 14.0.2140.2 (KB5128497)
- SQL Server 2017 CU31: 14.0.3560.2 (KB5128496)
- SQL Server 2019 GDR: 15.0.2200.2 (KB5128495)
- SQL Server 2019 CU32: 15.0.4500.2 (KB5128494)
- SQL Server 2022 GDR: 16.0.1210.3 (KB5128493)
- SQL Server 2022 CU27 und GDR1: 16.0.4305.5 (KB5126934)
- SQL Server 2025 CU9 und GDR: 17.0.5015.4 (KB5126967)
- SQL Server 2025 RTM GDR: 17.0.1145.4 (KB5128492)
Für SQL Server 2016 oder älter ist in den Quellen kein Fix-Build aufgeführt.
Umgehung
Unbekannt. Es wurde keine Massnahme speziell für diese Schwachstelle gefunden. Das Sicherheitsupdate einspielen.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung none, nicht automatisierbar, technische Auswirkung total.
Unsere Empfehlung
- Das Sicherheitsupdate vom Oktober 2026 für jeden betroffenen SQL-Server-Zweig so rasch wie möglich installieren.
- Die Build-Nummern vor dem Rollout mit den Microsoft-KB-Seiten abgleichen, da einige aus Sekundärquellen stammen.
- SQL Server nicht direkt dem Internet aussetzen und TCP 1433 sowie andere SQL-Ports an der Perimetergrenze blockieren.
- SQL-Logins auf das nötige Minimum beschränken und nicht genutzte Konten deaktivieren.
- Auf ungewöhnliche Anmeldungen und Dienstabstürze überwachen.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Response Center: CVE-2026-94512 msrc.microsoft.com
- Microsoft KB5128495: SQL Server 2019 GDR, October 2026 support.microsoft.com
- Microsoft KB5128492: SQL Server 2025 GDR, October 2026 support.microsoft.com
- Microsoft KB5128494: SQL Server 2019 CU32 GDR, October 2026 support.microsoft.com
- Senserva: KB5126934 summary senserva.com
- Threatint: CVE-2026-94512 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.