CVE-2019-1068: Microsoft-SQL-Server-Lücke aus 2019 — jetzt aktiv ausgenutzt

Das aktualisierte Advisory zu WID-SEC-2026-3035 klingt nach einer frischen Schwachstelle in Microsoft SQL Server. Ist es aber nicht: Der Fehler in den Versionen 2014, 2016 und 2017 (CVE-2019-1068) ist seit Juli 2019 bekannt und seit Juli 2019 auch patchbar. Neu ist etwas anderes, und genau das macht die Sache dringend: Laut CISA wird die Lücke aktiv ausgenutzt, und das Advisory-Update vom 27.08.2026 dokumentiert exakt diesen Status. Das eigentliche Risiko sind Installationen, die den sieben Jahre alten Patch nie eingespielt haben, denn ein Angreifer braucht dafür keinen Adminzugang, sondern nur ein gewöhnliches, gültiges Datenbank-Login.

Was ist passiert

Laut CERT-Bund kann ein entfernter Angreifer, der sich bereits mit gültigen Zugangsdaten am SQL Server anmelden kann, die Schwachstelle CVE-2019-1068 in Microsoft SQL Server 2014, 2016 und 2017 ausnutzen, um beliebigen Programmcode mit den Rechten des SQL-Server-Dienstes auszuführen. Kein Domain-Admin, kein Datenbank-Sysadmin nötig: Ein reguläres SQL-Login genügt als Ausgangspunkt. In der Praxis sind das oft mehr Konten, als eine IT-Abteilung vermutet, etwa Service-Accounts von Anwendungen, Reporting-Tools oder Drittanbieter-Software, die sich mit eigenen, seltener überwachten Zugangsdaten verbinden.

Was ist belegt

Belegt ist mittlerweile auch der Schweregrad: CVSS Base Score 8,8 (hoch), Temporal Score 8,4. Belegt ist zudem die aktive Ausnutzung: Revision 2 des Advisories vom 27.08.2026 trägt den Titel „Schwachstelle wird ausgenutzt“, der Ausnutzungs-Status lautet laut CERT-Bund „Laut CISA wird diese Schwachstelle ausgenutzt“, referenziert wird der CISA-KEV-Eintrag zu CVE-2019-1068 vom 26.08.2026. Belegt ist außerdem die Historie: Das Advisory wurde ursprünglich am 10.07.2019 veröffentlicht. Sicherheitsupdates in Form von GDR- und CU-Paketen existieren seit dem ursprünglichen Erscheinen. Die Schwachstelle ist also keine neue Lücke, sondern eine seit sieben Jahren bekannte und behebbare, die erst jetzt aktiv angegriffen wird.

Was ist derzeit unklar

Unklar bleibt, welche konkrete Funktion oder welcher Dienstteil die Rechteausweitung ermöglicht: Das geht aus der Kurzbeschreibung des Advisories nicht hervor.

Welche praktischen Auswirkungen ergeben sich

Hier entscheidet der Support-Status der jeweiligen Version, wie dringend zu handeln ist. Für SQL Server 2014 endete der erweiterte Support am 09.07.2024, für SQL Server 2016 am 14.07.2026: Reguläre Updates gibt es für beide Versionen nur noch über einen kostenpflichtigen ESU-Vertrag (Extended Security Updates). SQL Server 2017 wird dagegen noch bis zum 12.10.2027 unterstützt und lässt sich regulär patchen.

Aus unserer Sicht ist das die eigentliche Einordnung: Wer noch auf 2017 läuft, patcht jetzt und ist fertig. Wer noch 2014 oder 2016 betreibt, sollte den Patch nicht als Lösung behandeln, sondern als Zwischenschritt, denn ohne ESU-Vertrag laufen künftige Lücken schlicht unversorgt weiter. Die Migration auf eine unterstützte Version gehört damit auf die Agenda, unabhängig davon, wie diese eine Schwachstelle am Ende bewertet wird. Bei einer bereits aktiv ausgenutzten Lücke ist das kein Punkt für die nächste Wartungsplanung, sondern für diese Woche.

Quellen: CERT-Bund — „[UPDATE] [hoch] Microsoft SQL Server: Schwachstelle ermöglicht Ausführen von beliebigem Programmcode mit den Rechten des Dienstes“ (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-3035), Microsoft Learn — „SQL Server 2014“ (https://learn.microsoft.com/en-us/lifecycle/products/sql-server-2014), Microsoft Learn — „SQL Server 2016“ (https://learn.microsoft.com/en-us/lifecycle/products/sql-server-2016), Microsoft Learn — „SQL Server 2017“ (https://learn.microsoft.com/en-us/lifecycle/products/sql-server-2017)