CISA警告：微软SQL Server远程代码执行漏洞正被实际利用

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年8月27日 19:59
江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

美国网络安全与基础设施安全局（CISA）收到该漏洞正在被实际利用的相关证据，已将CVE‑2019‑1068这一影响微软SQL Server的远程代码执行漏洞，加入已知被利用漏洞（KEV）目录。

该漏洞允许攻击者以SQL Server数据库引擎服务账户的安全上下文执行代码。

微软SQL Server远程代码执行漏洞

CISA于2026年8月26日录入该漏洞，并对受《强制性操作指令BOD 26‑04》约束的机构设定修复截止时间为2026年8月29日。该机构暂未发现与该漏洞相关的勒索软件攻击活动，相关状态标记为未知。

SQL Server实例往往是攻击者的重点目标，因为其上承载关键业务数据库，并且可能使用高权限服务账户运行。

一旦漏洞被成功利用，攻击者可在受影响服务器上执行任意代码、窃取或篡改数据库数据、建立持久化访问，还可在企业环境内横向移动。

漏洞造成的破坏程度取决于SQL Server数据库引擎服务账户所分配的权限。使用高权限账户的环境，主机更容易遭到攻陷，进而导致攻击者访问其他相连系统。

CISA要求受影响机构按照微软官方指引实施缓解措施，遵守BOD 26‑04基于风险的更新要求。同时强制要求对该漏洞开展取证排查，说明打补丁并非唯一处置手段。

安全团队应优先执行以下操作：

• 梳理所有本地部署以及暴露于互联网的微软SQL Server部署实例。
  ​
• 针对CVE‑2019‑1068安装微软安全更新或采用官方认可的缓解方案。
  ​
• 核查SQL Server与Windows系统日志，排查异常执行行为、服务账户异常活动以及反常的数据库访问记录。
  ​
• 检查数据库服务器上是否存在未经授权的计划任务、新增服务、WebShell以及异常管理员账号。
  ​
• 缩减数据库服务器对外暴露面，对SQL业务做网络隔离，保证服务账户遵循最小权限原则。

根据CISA的KEV目录相关指引，如果机构无法落实有效的缓解手段，则应当停止使用受影响产品。

CVE‑2019‑1068被录入CISA的KEV目录意味着修复工作迫在眉睫，对外暴露的SQL Server系统、数据库服务拥有高权限的环境尤其需要重视。