Microsoft heeft 22 kwetsbaarheden verholpen in SQL Server. Dat meldt het NCSC in advisory NCSC-2026-0420, gepubliceerd op 13 oktober 2026.
Een kwaadwillende kan de fouten misbruiken om een denial-of-service te veroorzaken, zich verhoogde rechten toe te kennen, willekeurige code uit te voeren, mogelijk met de rechten van de SQL Server zelf, en toegang te krijgen tot gevoelige gegevens. Onder de genoemde zwaktes zitten stack- en heap-bufferoverlopen, out-of-bounds reads, een kwetsbare format string, integer-overflows, use-after-free-fouten en onveilige deserialisatie van niet-vertrouwde data.
Het NCSC publiceert voor deze advisory geen tabel met individuele CVSS-scores per kwetsbaarheid, alleen de lijst met 22 CVE-nummers en de mogelijke gevolgen gezamenlijk. Om die reden blijft de CVSS-score op dit artikel leeg in plaats van een gok. De fouten treffen SQL Server 2017 (GDR), 2019 (GDR), 2022 (zowel de GDR- als de CU26-tak) en 2025 (zowel GDR als CU8), telkens voor x64-systemen. Ook Azure API Center staat in de lijst met getroffen producten, wat suggereert dat minstens één van de 22 fouten in gedeelde code zit die ook in die dienst wordt gebruikt.
Microsoft heeft voor alle genoemde versies updates beschikbaar gesteld. Over actief misbruik of een publiek bekende proof-of-concept is niets gemeld. Database-beheerders die de update nog niet hebben ingepland doen er goed aan dat nu te doen, zeker op servers die ook via applicaties voor externe gebruikers bereikbaar zijn. Dezelfde ronde patchte Microsoft ook kwetsbaarheden in Windows.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Beheert u SQL Server? Installeer de oktober-cumulatieve update of GDR-patch voor uw versie. De combinatie van denial-of-service, rechtenverhoging en mogelijke codeuitvoering met SQL Server-rechten maakt dit geen update om voor zich uit te schuiven op productiedatabases.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.