Microsoftは、SQL Serverにおける重大な権限昇格の脆弱性を公表しました。この脆弱性により、高い権限を持つ攻撃者は、ユーザーの操作を必要とせずにネットワーク越しにアクセス権を昇格させることができます。
CVE-2026-20803として追跡されているこの脆弱性は2026年1月13日に公開され、データベース管理システム内の重要な機能に対する認証制御の欠如に起因します。
この脆弱性は、CWE-306として追跡されている、重要なSQL Server機能を保護する認証メカニズムの不備により発生します。
この欠陥を悪用できる認可済みの攻撃者は、システムメモリのダンプを含むデバッグ権限を取得でき、機密データや資格情報が露出する可能性があります。
CVSS 3.1スコアは7.2で、Microsoftは本脆弱性を「重要（Important）」の深刻度と評価しており、影響を受ける組織にとって相当なリスクがあることを示しています。
攻撃ベクトルはネットワークベースで、攻撃の複雑性は低く、悪用に高度な手法は必要ありません。
ただし、この脆弱性の悪用には攻撃者側に高レベルの権限が必要であり、SQL Server環境内で認証済みの脅威アクターに限って悪用可能性が制約されます。
スコープは変更なしのままで、他のシステムコンポーネントには影響しないことを示唆していますが、機密性・完全性・可用性はいずれも高と評価されています。
Microsoftの悪用可能性インデックスによると、CVE-2026-20803は公開時点で「悪用される可能性は低い（Exploitation Less Likely）」カテゴリに留まっています。
この脆弱性は詳細が全面的に公開されておらず、実際の攻撃キャンペーンでの悪用も確認されていません。
これにより、脅威アクターが武器化したエクスプロイトを開発する前に、組織がパッチを展開できる重要な猶予期間が得られます。
影響を受けるSQL Serverバージョンを運用している組織は、直ちに最新のセキュリティ更新プログラムを適用する必要があります。
Microsoftは、複数のSQL Serverバージョンにわたり、この脆弱性に対処するGeneral Distribution Release（GDR）およびCumulative Update（CU）のパッチをリリースしました。修正手順は、各組織の現在の更新戦略に依存します。
SQL Server 2025では、バージョン17.0.1000.7以前を実行している場合、管理者は更新プログラム5073177（RTM+GDR）を適用する必要があります。SQL Server 2022ユーザーには2つの選択肢があります。バージョン16.0.4003.1から16.0.4225.2の間のCUパスにある場合は更新プログラム5072936（CU22+GDR）を、16.0.1000.6から16.0.1160.1の間のベースラインインストールの場合は更新プログラム5073031（RTM+GDR）を適用します。
Windows AzureのInfrastructure-as-a-Service環境上のSQL Serverインストールは、Microsoft Update経由、またはMicrosoft Download Centerからの手動展開により更新を受け取ることができます。
組織は、誤った更新プログラムの適用が本番システムの障害につながる可能性があるため、適切なパッチを選択する前に、正確なSQL Serverバージョンと現在の更新レベルをまず特定すべきです。
GDRとCUの更新の違いは、ITチームにとって重要な判断ポイントとなります。GDR更新は特定のベースラインに対するセキュリティ修正のみを含む一方、CU更新には機能改善とセキュリティパッチの両方が含まれます。
現在GDR更新パスにある組織はGDRパッチを継続し、CUパスにある組織はCUのセキュリティパッケージへアップグレードすべきです。
特筆すべき点として、GDRからCUへの移行は一度のみ許可されており、CUをインストールした後にGDRへ戻すことはできません。
サポート対象外のSQL Serverバージョンを運用している組織は、Microsoftがサポート終了リリース向けのパッチを提供しないため、さらに緊急性が高まります。
これらの環境は、この更新および将来のセキュリティ更新を受け取るために、最新のService PackまたはSQL Server製品バージョンへアップグレードする必要があります。
データベース管理者は、SQL Serverインフラ内での脆弱性評価とパッチ展開を優先すべきです。
ネットワークベースの攻撃ベクトルと高い影響度の結果が組み合わさることで、この脆弱性は、SQL Serverインスタンスで機密データを管理する組織にとって特に懸念すべきものとなります。
脆弱性の現状が「悪用される可能性は低い」であることを踏まえると、迅速なパッチ適用により、脅威アクターが実用的な攻撃手法を開発する前に悪用を防げる可能性があります。
翻訳元: https://cyberpress.org/microsoft-sql-server-flaw/