Описание
Уязвимость системы управления базами данных Microsoft SQL Server связана с недостатками механизма контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии
Вендор
Microsoft Corp
Наименование ПО
Microsoft SQL Server 2025 (CU2)
Microsoft SQL Server 2022 (CU 23)
Microsoft SQL Server 2019 (CU 32)
Microsoft SQL Server 2025 (GDR)
Microsoft SQL Server 2022 (GDR)
Microsoft SQL Server 2016 Service Pack 3 Azure Connect Feature Pack
Microsoft SQL Server 2017 (CU 31)
Microsoft SQL Server 2016 Service Pack 3 (GDR)
Microsoft SQL Server 2019 (GDR)
Microsoft SQL Server 2017 (GDR)
Версия ПО
до 17.0.4020.2 (Microsoft SQL Server 2025 (CU2))
до 16.0.4240.4 (Microsoft SQL Server 2022 (CU 23))
до 15.0.4460.4 (Microsoft SQL Server 2019 (CU 32))
до 17.0.1105.2 (Microsoft SQL Server 2025 (GDR))
до 16.0.1170.5 (Microsoft SQL Server 2022 (GDR))
до 13.0.7075.5 (Microsoft SQL Server 2016 Service Pack 3 Azure Connect Feature Pack)
до 14.0.3520.4 (Microsoft SQL Server 2017 (CU 31))
до 13.0.6480.4 (Microsoft SQL Server 2016 Service Pack 3 (GDR))
до 15.0.2160.4 (Microsoft SQL Server 2019 (GDR))
до 14.0.2100.4 (Microsoft SQL Server 2017 (GDR))
Тип ПО
СУБД
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению;
- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;
- использование SIEM-систем для отслеживания попыток эксплуатации уязвимости;
- использование виртуальных частных сетей для организации удаленного доступа (VPN);
- ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет);
- минимизация пользовательских привилегий;
- отключение/удаление неиспользуемых учётных записей пользователей.
Использование рекомендаций:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21262
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 33%
0.00131
Низкий
8.8 High
CVSS3
9 Critical
CVSS2
Связанные уязвимости
CVSS3: 8.8
nvd
18 дней назад
Improper access control in SQL Server allows an authorized attacker to elevate privileges over a network.
CVSS3: 8.8
github
18 дней назад
Improper access control in SQL Server allows an authorized attacker to elevate privileges over a network.
EPSS
Процентиль: 33%
0.00131
Низкий
8.8 High
CVSS3
9 Critical
CVSS2