SQL Serverにコード実行の脆弱性、修正版あり
SQL Server 2017から2025までに、ネットワーク経由でコードを実行される脆弱性（CVSS v3は9.8）が見つかり、2026年11月の更新で修正されました。自社のバージョン番号を調べ、該当すれば修正版を適用してください。
急ぎ度: 早めに
CVSS v3は9.8と高い一方、Microsoftは悪用も事前公開もないとしており、修正版が公開済みのため、検証を済ませて早めに適用する段階です。
関係があるか
SQL Server 2017・2019・2022・2025を運用している組織が対象です。SQL ServerのIntegration Services（統合サービス）でパッケージを動かし、外部のエンドポイントに接続している環境は、とくに確認が必要です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Microsoft SQL Server 2017 (GDR) | 14.0.0以上14.0.2150.2未満 | 14.0.2150.2 |
| Microsoft SQL Server 2017 for x64-based Systems (CU31) | 14.0.3006.16以上14.0.3570.2未満 | 14.0.3570.2 |
| Microsoft SQL Server 2019 (GDR) | 15.0.0以上15.0.2210.4未満 | 15.0.2210.4 |
| Microsoft SQL Server 2019 for x64-based Systems (CU32) | 15.0.4003.23以上15.0.4510.2未満 | 15.0.4510.2 |
| Microsoft SQL Server 2022 (GDR) | 16.0.0以上16.0.1220.3未満 | 16.0.1220.3 |
| Microsoft SQL Server 2022 for x64-based Systems (CU27) | 16.0.4003.1以上16.0.4315.2未満 | 16.0.4315.2 |
| Microsoft SQL Server 2025 CU10 | 17.0.4006.0以上17.0.5045.3未満 | 17.0.5045.3 |
| Microsoft SQL Server 2025 for x64-based Systems (GDR) | 17.0.1050.2以上17.0.1155.3未満 | 17.0.1155.3 |
確かめ方
- 1SQL Serverのバージョン番号を調べます。
SELECT @@VERSION;で確認でき、Microsoftはサポート技術情報321185の手順も案内しています。 - 2調べた番号を上の表と照らします。GDRとCUでは更新が別々に出ており、番号が含まれる範囲に対応する更新が適用対象です。SQL Server 2025 CU10+GDRの更新はKB5129299です。
- 3表に載っていない版は、更新の前提条件とサポート状況を確認します。Microsoftは、表に記載がないことだけではサポート対象外とは言えないとしています。
- 4Integration Servicesのパッケージを使っているサーバーと、そのパッケージが接続する先を洗い出します。
何が起きたか
SQL Serverに、ネットワーク経由で細工された応答を処理させることでコードを実行される脆弱性が見つかりました。Microsoftは2026年11月10日に公表し、同月のセキュリティ更新で修正しています。
原因はヒープ領域のバッファオーバーフロー（CWE-122）です。CVSS v3は9.8で、機密性・完全性・可用性への影響はいずれも高と評価されています。
Microsoftは、公表時点で実際の悪用も脆弱性の事前公開も確認していないとしています。
数値は最高水準に近いものの、悪用は未確認で修正版もそろっています。筆者は、臨時の緊急対応というより、検証を済ませて早めに適用する程度の急ぎ度とみています。
攻撃の流れ
-
1
接続先の掌握
攻撃者が、統合パッケージの接続先となるネットワークエンドポイントを制御している。
-
2
パッケージが接続
影響を受ける統合パッケージが、そのエンドポイントに接続する。
-
3
細工した応答
攻撃者が、特別に細工した応答を返す。
-
4
応答の処理
SQL Server側が応答を処理する際にヒープのバッファオーバーフローが起きる。
-
5
コード実行
統合サービスの権限で、攻撃者のコードが実行される可能性がある。
どう悪用されるか
Microsoftの説明では、攻撃者が統合パッケージの接続先エンドポイントを制御していることが出発点です。パッケージが接続してきたときに、攻撃者が特別に細工した応答を返し、SQL Server側がその応答を処理するとコードが実行される可能性があります。
パッケージが自動で実行される構成では、攻撃者にSQL Serverの資格情報や、利用者の追加の操作は要りません。CVSSの評価も、認証なし・利用者の操作なしのネットワーク攻撃です。
成功した場合、統合サービスの権限でコードが実行されます。CVSS上は、データの読み取り・改ざん・サービス停止のいずれも高い影響と評価されています。
今すぐやること
-
1
SQL Serverのバージョン番号を確認する
社内のすべてのインスタンスについて版を調べ、GDRとCUのどちらの系統かを見分けます。開発・検証用のサーバーも対象に入れてください。
SELECT @@VERSION; -
2
2026年11月のセキュリティ更新を適用する
自社の版が含まれる範囲に対応する更新を選び、修正版に更新します。まずテスト環境で動作を確かめ、そのあと本番に適用します。
-
3
統合パッケージの接続先を洗い出す
Integration Servicesのパッケージが、社外や管理外のエンドポイントに接続していないかを調べます。自動実行している構成は、更新までの間に特に優先して確認してください。
-
4
適用後にバージョン番号を再確認する
更新後に同じ手順で版を調べ、修正版以上になっていることを確かめます。
SELECT @@VERSION;
すぐ更新できないとき
修正版をすぐに適用できない間は、悪用の条件に沿って被害を減らします。統合パッケージの接続先を自社が管理する相手に限り、接続先が不明なパッケージや外部に接続するパッケージは、自動実行を止めて手動で扱います。Microsoftが公式の回避策として案内しているものではなく、修正版の代わりにはなりません。
背景
SQL Serverは、基幹システムや業務アプリのデータを預かるデータベースです。Integration Servicesは、そのデータを別のシステムとの間で取り込み・加工・書き出しするための機能で、夜間のバッチなど人が操作しない形で動いていることが多くあります。
今回の脆弱性が変わっているのは、入口がSQL Server自身の待ち受けではなく、パッケージが外へ接続した先からの応答にある点です。データベースのリモートコード実行というと、外部公開されたポートを想定しがちです。この脆弱性では、外部から受け取る応答もあわせて見る必要があります。ヒープ上のバッファオーバーフローは、受け取ったデータの長さや形を正しく扱えないときに起きる種類で、細工された入力を受け付ける処理があれば、製品を問わず現れてきました。
よくある質問
Q.Integration Servicesを使っていなければ、更新は不要ですか。
Q.自社の版が表に載っていない場合はどうすればよいですか。
まだ分かっていないこと
- 影響を受ける統合パッケージの具体的な種類や接続方式は、Microsoftの説明に示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| MicrosoftMicrosoft SQL Server 2017 (GDR) |
14.0.0 以上 14.0.2150.2 未満→ 14.0.2150.2 |
14.0.2150.2 |
| MicrosoftMicrosoft SQL Server 2017 for x64-based Systems (CU31) |
14.0.3006.16 以上 14.0.3570.2 未満→ 14.0.3570.2 |
14.0.3570.2 |
| MicrosoftMicrosoft SQL Server 2019 (GDR) |
15.0.0 以上 15.0.2210.4 未満→ 15.0.2210.4 |
15.0.2210.4 |
| MicrosoftMicrosoft SQL Server 2019 for x64-based Systems (CU32) |
15.0.4003.23 以上 15.0.4510.2 未満→ 15.0.4510.2 |
15.0.4510.2 |
| MicrosoftMicrosoft SQL Server 2022 (GDR) |
16.0.0 以上 16.0.1220.3 未満→ 16.0.1220.3 |
16.0.1220.3 |
| MicrosoftMicrosoft SQL Server 2022 for x64-based Systems (CU27) |
16.0.4003.1 以上 16.0.4315.2 未満→ 16.0.4315.2 |
16.0.4315.2 |
| MicrosoftMicrosoft SQL Server 2025 CU10 |
17.0.4006.0 以上 17.0.5045.3 未満→ 17.0.5045.3 |
17.0.5045.3 |
| MicrosoftMicrosoft SQL Server 2025 for x64-based Systems (GDR) |
17.0.1050.2 以上 17.0.1155.3 未満→ 17.0.1155.3 |
17.0.1155.3 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Heap-based buffer overflow in SQL Server allows an unauthorized attacker to execute code over a network.
出典: Microsoft Security Response Center Blog NVD GitHub Advisory
参照URL
- web msrc.microsoft.com
- web nvd.nist.gov
- web github.com