Ein Sicherheitsbericht des CERT-Bund weist darauf hin, dass ein entfernter, authentisierter Angreifer eine Schwachstelle in Microsoft SQL Server 2014, Microsoft SQL Server 2016 und Microsoft SQL Server 2017 ausnutzen kann, um beliebigen Programmcode mit den Rechten des Dienstes auszuführen.
Technische Details
Die betroffene Komponente ermöglicht es einem Angreifer, nach erfolgreicher Authentifizierung, manipulierte Anfragen an den Datenbankdienst zu senden. Durch die Ausnutzung der Lücke lässt sich Code in den Kontext des SQL Server-Dienstes einbringen, wodurch der Angreifer die vollständige Kontrolle über das betroffene System erlangen kann.
Mögliche Folgen
Ein erfolgreicher Angriff kann zur Kompromittierung sensibler Daten, zur Installation weiterer Schadsoftware oder zur Nutzung des Servers als Sprungbrett für weitere Angriffe im Netzwerk führen. Da die Ausführung mit Dienstrechten erfolgt, können auch andere Anwendungen auf dem System betroffen sein.
Empfohlene Maßnahmen
Microsoft hat bereits Sicherheitsupdates für die betroffenen Versionen veröffentlicht. Der CERT-Bund empfiehlt allen Administratoren, die Updates umgehend zu installieren und die Systeme auf aktuelle Patchstände zu prüfen. Zusätzlich sollten Logdateien auf verdächtige Aktivitäten ausgewertet werden.
Hintergrund
Der Bericht wurde im Jahr 2026 veröffentlicht und richtet sich an Betreiber von Microsoft SQL Server-Instanzen, die noch nicht auf die neuesten Sicherheitsupdates migriert sind. Die Schwachstelle ist Teil einer Reihe von Remote‑Code‑Execution‑Lücken, die in den letzten Jahren vermehrt auf Datenbankplattformen gefunden wurden.
Ausblick
Der CERT-Bund betont, dass ein konsequentes Patch‑Management und die regelmäßige Überprüfung von Sicherheitsempfehlungen zentrale Elemente zur Reduktion von Angriffsflächen darstellen. Betreiber werden angehalten, künftig ein automatisiertes Update‑Verfahren zu etablieren, um ähnliche Risiken frühzeitig zu adressieren.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung