SQL Server 2026 年 7 月更新 - 修复 CVE-2026-54118 SQL Server 远程执行代码漏洞
SQL Server 2026 年 7 月更新 - 修复 CVE-2026-54118 Microsoft SQL Server 远程执行代码漏洞
Microsoft SQL Server 下载汇总 | SQL Server GDR 和 CU 更新汇总
请访问原文链接：https://sysin.org/blog/sql-server/ 查看最新版。原创作品，转载请保留出处。
作者主页：sysin.org
Microsoft SQL Server 远程执行代码漏洞 新
CVE-2026-54118
Security Vulnerability
发行版：
-
Assigning CNA：Microsoft
-
CVE.org link：CVE-2026-54118
-
影响：远程执行代码
-
最高严重性：严重
-
CVSS 源：Microsoft
-
字符串向量：
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C -
Metrics：CVSS:3.1 8.8 / 7.7
请参阅通用漏洞评分系统，以获取有关这些指标定义的更多信息。
利用
下表为此漏洞提供初始发布时的可利用性评估。
-
Publicly disclosed：No
-
Exploited：No
-
Exploitability assessment：不太可能利用
FAQ
根据 CVSS 指标，攻击向量为网络 (AV:N)，攻击复杂度为低 (AC:L)。这对于这个漏洞意味着什么？
将攻击向量为“网络”(AV:N)，因为此漏洞可被远程利用，并且可从互联网上被利用。攻击复杂度为“低”(AC:L)，因为攻击者不需要对系统有充分的先验知识，并且可以通过针对易受攻击组件的有效负载实现可重复的成功。
攻击者如何利用此漏洞？
经过身份验证且拥有限制级特权的攻击者可以通过登录 SQL Server 来利用此漏洞，然后将其特权提升为 sysadmin。
我的系统运行的是 SQL Server。我需要采取什么操作？
更新 SQL Server 的相关版本。这些更新中包含所有适用的驱动程序修补程序。
对我的 SQL Server 版本提供了 GDR 和/或 CU（累积更新）更新。我如何知道该使用哪个更新？
- 首先，确定 SQL Server 的版本号。有关确定 SQL Server 版本号的更多信息，请参阅 Microsoft 知识库文章 321185 - 如何确定 SQL Server 及其组件的版本、版本类别和更新级别。
- 其次，在下表中找到您的版本号或该版本号所属的版本范围。相应的更新指您需要安装的更新。
注意 如果您的 SQL Server 版本号未列在下表中，则说明此 SQL Server 版本不再受支持。请升级到最新的服务包或 SQL Server 产品以应用此更新和未来的安全更新。
| 更新编号 | 标题 | 版本 | 如果当前产品版本是…则适用 | 此安全更新程序还包括服务版本至… |
|---|---|---|---|---|
| 5101346 | SQL Server 2025 CU6+GDR 的安全更新 | 17.0.4060.2 | 17.0.4006.2 - 17.0.4055.5 | KB5093421 - SQL Server 2025 RTM CU6 历史版本 |
| 5102333 | SQL Server 2025 RTM+GDR 的安全更新 | 17.0.1125.2 | 17.0.1000.7 - 17.0.1115.1 | KB5091223 - 先前的 SQL2025 RTM GDR |
| 5101347 | SQL Server 2022 CU25+GDR 安全更新 | 16.0.4262.2 | 16.0.4003.1 - 16.0.4255.1 | KB5081477 - SQL Server 2022 RTM CU25 历史版本 |
| 5102334 | SQL Server 2022 RTM+GDR 的安全更新 | 16.0.1190.2 | 16.0.1000.6 - 16.0.1180.1 | KB5091158 - 先前的 SQL2022 RTM GDR |
| 5102335 | SQL Server 2019 CU32+GDR 的安全更新 | 15.0.4480.2 | 15.0.4003.23 - 15.0.4470.1 | KB5090407 - 之前的 SQL2019 RTM CU32 GDR |
| 5102336 | SQL Server 2019 RTM+GDR 的安全更新 | 15.0.2180.2 | 15.0.2000.5 - 15.0.2170.1 | KB 5090408 - 先前的 SQL2019 RTM GDR |
| 5102337 | SQL Server 2017 CU31+GDR 的安全更新 | 14.0.3540.1 | 14.0.3006.16 - 14.0.3530.2 | KB 5090354 - 先前的 SQL2017 RTM CU31 GDR |
| 5102338 | SQL Server 2017 RTM+GDR 的安全更新 | 14.0.2120.1 | 14.0.1000.169 - 14.0.2110.2 | KB 5090347 - 先前的 SQL2017 RTM GDR |
| 5102339 | SQL Server 2016 Azure Connect Feature Pack+GDR 安全更新 | 13.0.7095.1 | 13.0.7000.253 - 13.0.7085.1 | KB 5089270 - 先前的 SQL2016 Azure Connect Feature Pack GDR |
| 5102340 | SQL Server 2016 SP3+GDR 的安全更新 | 13.0.6500.1 | 13.0.6300.2 - 13.0.6490.1 | KB 5089271 - 上一个 SQL2016 RTM GDR |
什么是 GDR 和 CU 更新名称，两者有何差别？
GDR（General Distribution Release，普通分发版本）和 CU（Cumulative Update，累积更新）对应于两种不同的可用于 SQL Server 基线版本的服务选项。基线可以是 RTM 版本或 Service Pack 版本。
- GDR 更新 – 累积仅包含适用于给定基线的安全更新。
- CU 更新 – 累积包含适用于给定基线的所有功能修复程序和安全更新。
对于任何给定基线，GDR 或 CU 更新均为可选项（见下文）。
- 如果 SQL Server 安装了基线版本，则可以选择 GDR 或 CU 更新。
- 如果 SQL Server 安装有意只安装了过去的 GDR 更新，则选择安装 GDR 更新包。
- 如果 SQL Server 安装有意只安装了先前的 CU 更新，则选择安装 CU 安全更新包。
注意：您仅有一次机会可以将 GDR 更新更改为 CU 更新。一旦 SQL Server CU 更新应用于 SQL Server 安装，将无法返回到 GDR 更新路径。
安全更新是否可以应用于 Windows Azure (IaaS) 上的 SQL Server 实例？
是的。可通过 Microsoft Update 为 Windows Azure (IaaS) 上的 SQL Server 实例提供安全更新，或者客户可从 Microsoft 下载中心下载安全更新并手动安装它们。
下载链接
Microsoft SQL Server
更多：Windows 下载汇总
浙公网安备 33010602011771号