文章总结： Microsoft披露SQLServer关键零日漏洞CVE-2026-21262，源于不当访问控制，允许认证攻击者提权至系统管理员，CVSS评分8.8。漏洞已公开但未被利用，影响版本涵盖2016至2025。建议立即安装官方安全更新，审计权限并监控异常活动。
综合评分： 80
文章分类： 漏洞预警,漏洞分析,解决方案,数据安全
Microsoft SQL Server 零日漏洞允许攻击者升级权限
sec随谈
sec随谈
sec随谈
2026年3月12日 09:36
北京
Microsoft披露了SQL Server中的一个关键零日漏洞，允许经过认证的攻击者将其权限升级到受影响数据库系统的最高管理级别。
该漏洞编号为CVE-2026-21262，于2026年3月10日正式发布，并已公开披露，这对在企业环境中运行SQL Server的组织提出了紧迫的担忧。
该漏洞源于Microsoft SQL Server内部的不当访问控制（CWE-284），使授权攻击者能够通过网络提升权限。
根据Microsoft的建议，成功利用该漏洞的威胁行为者可能会获得SQL系统管理员权限，这是SQL Server环境中的最高访问权限，从而完全控制数据库实例。
该缺陷的基础评分为8.8，属于重要严重性。攻击向量基于网络，复杂度低，发起时只需低级别权限，且无需用户交互。
其影响涵盖了机密性、完整性和可用性这三个关键安全维度，均被评为高，使该漏洞在数据敏感环境中尤为危险。
Microsoft SQL Server 零日漏洞
Microsoft确认该漏洞已公开披露，但尚未在实际中被积极利用，可利用性评估为“利用可能性较低”。然而，公开披露的状态显著降低了威胁行为者开发有效利用的门槛。
带有明确权限的认证攻击者可以通过登录 SQL Server 实例，利用不当的访问控制漏洞将会话升级到系统管理员级别来利用漏洞。
这种权限升级攻击在多租户或共享数据库环境中尤其危险，因为低权限用户可能已经拥有合法访问权限。
Microsoft已发布涵盖SQL Server 2016至新发布SQL Server 2025的安全更新。管理员应确认当前版本，并相应应用相应的GDR或累积更新（CU）补丁。主要更新包括：
-
SQL Server 2025
：KB 更新 5077466（CU2+GDR）和 5077468（RTM+GDR）
-
SQL Server 2022
：KB更新 5077464（CU23+GDR）和5077465（RTM+GDR）
-
SQL Server 2019
：KB 更新 5077469（CU32+GDR）和 5077470（RTM+GDR）
-
SQL Server 2017
：KB更新5077471和 5077472
-
SQL Server 2016
：KB更新 5077473 和 5077474
托管在 Windows Azure（IaaS）上的 SQL Server 实例可以通过 Microsoft Update 或从 Microsoft 下载中心手动下载来接收更新。
鉴于该漏洞已公开披露，安全团队应立即优先进行修补。组织应审计SQL Server用户权限，仅将显式权限限制为受信任账户，并监控数据库日志中的异常权限升级活动。
Microsoft不再支持的版本应升级到支持版本，以便接收此次及未来的安全补丁。
参考链接：
https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-21262
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：sec随谈 sec随谈
sec随谈《Microsoft SQL Server 零日漏洞允许攻击者升级权限》