Alvarlegur veikleiki í Microsoft SQL Server

Microsoft hefur gefið út öryggisuppfærslur vegna veikleikans CVE-2026-116945 í Microsoft SQL Server. Hann fær alvarleikaeinkunn 9,8 af 10 og getur gert óviðkomandi kleift að keyra skaðlegan kóða án innskráningar. Uppfærslurnar ná til SQL Server 2017, 2019, 2022 og 2025. Eldri útgáfur eru ekki lengur studdar af Microsoft en eru sennilega líka með þennan galla

Microsoft hefur jafnframt glímt við víðtækar truflanir á Outlook, Teams, Copilot og fleiri þjónustuþáttum frá því í gær, 12. nóvember. Í stöðuuppfærslu í morgun greindi fyrirtækið frá auknum stöðugleika eftir lagfæringar á auðkenningar- og beiningarhluta kerfanna. Verið er að innleiða þær víðar og endurheimt þjónustu í fulla virkni er enn í gangi. Microsoft segist ekki hafa vísbendingar um að árás liggi að baki.

Microsoft hefur ekki staðfest tengsl milli þessara truflana og SQL Server-veikleikans sem hér er fjallað um. Truflanir á skýjaþjónustu Microsoft eru utan áhrifasviðs APRÓ. Ábyrgð á uppfærslum SQL Server í eigin rekstri liggur aftur á móti hjá rekstraraðilum viðkomandi kerfa og þar geta sérfræðingar APRÓ aðstoðað við stöðumat og úrbætur.

HVAÐA SQL-GALLI ER ÞETTA?
Gallinn er minnisflæðisvilla (“heap-based buffer overflow”), sem þýðir til dæmis að árásaraðili getur opnað nettengingu við SQL-þjón og sent á hann sérútbúið kall. Við úrvinnsluna getur skaðlegur kóði keyrt með réttindum samþættingarþjónustu, án frekari aðgerða notanda ef ferlið keyrir sjálfkrafa.

Afleiðingar ráðast af réttindum þjónustunnar. Til greina koma gagnastuldur, breytingar eða eyðing gagna og mögulega frekari árásir innan vinnustaðarins. Það nægir því ekki eitt og sér að loka gagnagrunnsþjóni fyrir beinum aðgangi af internetinu. Einnig þarf að skoða tengingar hans við önnur kerfi.

HVERSU VÍÐTÆK ERU ÁHRIFIN?
Microsoft SQL-gagnagrunnsvélin þjónar milljónum viðskiptavina Microsoft um heim allan. Sú tala segir þó ekki hversu margir gagnagrunnar eru berskjaldaðir fyrir þessum veikleika.

Hér heima á Íslandi gæti árás á viðkvæmt umhverfi í atvinnulífinu raskað rekstri og þjónustu og stofnað trúnaðarupplýsingum í hættu. Umfangið ræðst af uppfærslustöðu, samþættingum og aðgangsréttindum hvers umhverfis.

Við útgáfu uppfærslunnar vissi Microsoft ekki til þess að veikleikinn hefði verið nýttur í árásum. Rekstraraðilar ættu engu að síður að yfirfara kerfin og setja inn viðeigandi uppfærslur sem fyrst.

APRÓ: STÖÐUMAT OG ÚRBÆTUR
Sérfræðingar APRÓ í Microsoft SQL Server aðstoða við stöðumat og úrbætur. Hafðu samband og fáðu yfirferð á þínu umhverfi.