Kurzfassung

Eine Schwachstelle aus dem Jahr 2019 sorgt sieben Jahre später erneut für Handlungsdruck: Die US-Cybersicherheitsbehörde CISA hat CVE-2019-1068 am 26. August 2026 in ihren Known Exploited Vulnerabilities Catalog (KEV) aufgenommen. Damit gilt als bestätigt, dass die Sicherheitslücke in realen Angriffen ausgenutzt wird.

Betroffen sind ältere Versionen von Microsoft SQL Server. Die Schwachstelle ermöglicht einem bereits authentifizierten Angreifer, speziell präparierte Abfragen an den Datenbankserver zu senden und dadurch Code mit den Rechten des SQL Server Database Engine Service Accounts auszuführen.

Neu ist die Schwachstelle nicht. Microsoft stellte bereits im Juli 2019 Sicherheitsupdates bereit. Neu ist vielmehr die Erkenntnis, dass Angreifer die seit Jahren bekannte Lücke offenbar weiterhin erfolgreich gegen ungepatchte Systeme einsetzen.

Für Unternehmen ist das ein guter Anlass, ältere SQL-Server-Installationen und deren tatsächlichen Patchstand erneut zu überprüfen.

Warum ist eine CVE aus dem Jahr 2019 heute noch relevant?

Das Veröffentlichungsjahr einer Schwachstelle sagt wenig darüber aus, ob sie für Angreifer noch interessant ist.

CVE-2019-1068 wurde bereits 2019 veröffentlicht und von Microsoft behoben. Dass CISA die Schwachstelle erst am 26. August 2026 in den KEV-Katalog aufgenommen hat, ist deshalb der entscheidende Punkt: Die Behörde nimmt Schwachstellen dort auf, wenn Belege dafür vorliegen, dass sie tatsächlich ausgenutzt werden.

Die Meldung bedeutet also nicht, dass eine neue Schwachstelle im SQL Server entdeckt wurde. Sie bedeutet vielmehr:

Eine sieben Jahre alte Sicherheitslücke ist offenbar noch auf genügend ungepatchten Systemen vorhanden, dass sich ihre Ausnutzung für Angreifer weiterhin lohnt.

Gerade bei Datenbanksystemen ist dieses Szenario nicht ungewöhnlich. SQL Server gehören häufig zu geschäftskritischen Anwendungen und werden deshalb weniger schnell aktualisiert oder migriert als Arbeitsplatzsysteme.

Hinzu kommen Fachanwendungen, ERP-Systeme oder Branchenlösungen, bei denen Datenbankversion und Patchstand teilweise von der Freigabe des jeweiligen Softwareherstellers abhängen.

Welche SQL-Server-Versionen sind betroffen?

Nach Angaben der NVD betrifft CVE-2019-1068 unter anderem Installationen aus den Produktlinien:

  • Microsoft SQL Server 2014 SP2 und SP3
  • Microsoft SQL Server 2016 SP1 und SP2
  • Microsoft SQL Server 2017

Dabei sind unterschiedliche GDR- und CU-Zweige betroffen. Die Sicherheitsupdates stellte Microsoft bereits im Juli 2019 bereit.

Besonders interessant ist die Schwachstelle heute auch deshalb, weil diese SQL-Server-Generationen inzwischen weit fortgeschritten in ihrem Produktlebenszyklus sind.

Der reguläre Extended Support für SQL Server 2014 endete bereits 2024. Für SQL Server 2016 endete er am 14. Juli 2026. Microsoft bietet für beide Versionen Extended Security Updates an. SQL Server 2017 befindet sich noch bis Oktober 2027 im Extended Support.

Damit fällt die aktuelle Warnung genau in eine Phase, in der viele Unternehmen ohnehin prüfen sollten, ob ältere SQL-Server-Installationen noch weiterbetrieben werden können.

Wie funktioniert der Angriff?

CVE-2019-1068 ist eine Remote-Code-Execution-Schwachstelle in der SQL Server Database Engine.

Wichtig ist dabei eine Einschränkung: Es handelt sich nicht um eine ohne Anmeldung ausnutzbare Remote-Code-Execution-Lücke.

Ein Angreifer muss zunächst einen authentifizierten Zugang zum betroffenen SQL Server besitzen. Anschließend kann eine speziell präparierte SQL-Abfrage dazu führen, dass Code im Kontext des SQL Server Database Engine Service Accounts ausgeführt wird.

Die NVD bewertet die Schwachstelle mit einem CVSS-3.x-Score von 8,8 – High. Der Vektor AV:N/AC:L/PR:L/UI:N zeigt: Der Angriff kann über das Netzwerk erfolgen und erfordert geringe Berechtigungen, aber keine Benutzerinteraktion.

Damit eignet sich die Schwachstelle insbesondere als weiterer Schritt innerhalb einer Angriffskette.

Ein Angreifer könnte beispielsweise bereits über kompromittierte Datenbank-Zugangsdaten verfügen oder zuvor einen Applikationsserver übernommen haben. CVE-2019-1068 kann anschließend dazu dienen, die Kontrolle über den darunterliegenden SQL-Server weiter auszubauen.

Warum das Dienstkonto entscheidend ist

Der mögliche Schaden hängt wesentlich davon ab, mit welchen Rechten der SQL Server Database Engine Service ausgeführt wird.

Microsoft weist ausdrücklich darauf hin, dass ein erfolgreicher Angreifer Code im Kontext dieses Dienstkontos ausführen kann.

Ist das Konto nach dem Least-Privilege-Prinzip eingerichtet, wird der mögliche Schaden begrenzt.

Problematischer sind historisch gewachsene Installationen, bei denen SQL-Dienste mit unnötig weitreichenden lokalen oder sogar Domänenberechtigungen betrieben werden.

Dann kann aus der Kompromittierung einer Datenbankinstanz ein Ausgangspunkt für weitere Aktivitäten im Unternehmensnetz werden.

Warum ältere Schwachstellen für Angreifer attraktiv bleiben

CVE-2019-1068 zeigt ein grundsätzliches Problem des Schwachstellenmanagements: Angreifer benötigen nicht zwangsläufig eine neue Zero-Day-Schwachstelle.

Eine bekannte Sicherheitslücke kann wesentlich attraktiver sein, wenn gleichzeitig drei Bedingungen erfüllt sind:

  1. Es existieren noch ausreichend ungepatchte Systeme.
  2. Informationen über die Schwachstelle und ihre Funktionsweise sind seit Jahren verfügbar.
  3. Die betroffene Software befindet sich häufig auf geschäftskritischen oder schwer zu aktualisierenden Systemen.

Genau deshalb sind alte CVEs nicht automatisch alte Risiken.

Die erneute Aufmerksamkeit für CVE-2019-1068 sollte deshalb weniger als überraschende technische Neuentdeckung verstanden werden, sondern als Hinweis auf ein klassisches Problem: Patch- und Lifecycle-Management funktionieren nicht überall konsequent.

Was Unternehmen jetzt prüfen sollten

Unternehmen sollten zunächst feststellen, ob noch SQL Server 2014, 2016 oder 2017 betrieben werden.

Anschließend sollte nicht nur die Versionsnummer, sondern der konkrete Build- und Patchstand geprüft werden. Systeme, auf denen die Sicherheitsupdates von Juli 2019 oder nachfolgende Updates fehlen, sollten mit hoher Priorität untersucht und aktualisiert werden.

Besondere Aufmerksamkeit verdienen Systeme, die aus fremden oder weniger vertrauenswürdigen Netzsegmenten erreichbar sind. Dazu gehören nicht nur direkt aus dem Internet erreichbare Datenbankserver, sondern beispielsweise auch Zugriffe aus DMZ-Systemen, Partnernetzen oder von öffentlich erreichbaren Applikationsservern.

Zusätzlich sollten Administratoren prüfen:

  • Welche Benutzer und Anwendungen dürfen sich am SQL Server anmelden?
  • Existieren nicht mehr benötigte SQL-Logins?
  • Welche Rechte besitzt das SQL-Dienstkonto?
  • Ist der Datenbankserver unnötig aus anderen Netzwerksegmenten erreichbar?
  • Sind ältere oder nicht mehr unterstützte SQL-Versionen weiterhin im produktiven Einsatz?
  • Gibt es ungewöhnliche administrative Konten, SQL-Agent-Jobs oder Konfigurationsänderungen?

Bei einem ungepatchten System sollte außerdem berücksichtigt werden, dass die Aufnahme in den KEV-Katalog auf eine beobachtete Ausnutzung hinweist. Ein Update beseitigt zwar die Schwachstelle, beantwortet aber nicht automatisch die Frage, ob ein System zuvor bereits kompromittiert wurde.

Welche Bedeutung hat die CISA-Frist?

Für CVE-2019-1068 wird im Zusammenhang mit der neuen KEV-Aufnahme der 29. August 2026 als Remediation-Termin für die betroffenen US-Bundesbehörden genannt.

Dieser Termin ist für deutsche Unternehmen nicht verbindlich.

Die zugrunde liegende Vorgehensweise ist trotzdem interessant. Mit der im Juni 2026 veröffentlichten Binding Operational Directive 26-04 priorisiert CISA Sicherheitsupdates stärker anhand des tatsächlichen Risikos – unter anderem anhand bekannter Ausnutzung, Erreichbarkeit eines Systems und möglicher Auswirkungen einer erfolgreichen Kompromittierung.

Für Unternehmen in Deutschland kann der KEV-Katalog deshalb unabhängig von US-Vorgaben ein sinnvoller zusätzlicher Indikator für die Priorisierung im Schwachstellenmanagement sein.

Einschätzung von CyberSecurity-News.de

Der interessante Aspekt von CVE-2019-1068 ist nicht ihr Alter, sondern ihre aktuelle Nutzung.

Microsoft hat die Schwachstelle bereits 2019 geschlossen. Dass sie sieben Jahre später in den CISA-KEV-Katalog aufgenommen wird, zeigt jedoch, dass sich bekannte und längst behebbare Schwachstellen weiterhin für reale Angriffe nutzen lassen.

Gerade ältere SQL-Server-Installationen verdienen deshalb Aufmerksamkeit. In vielen Unternehmen laufen Datenbankserver über Jahre, weil Anwendungen von ihnen abhängig sind, Migrationen aufwendig sind oder Updates erst nach Herstellerfreigaben durchgeführt werden dürfen.

Die aktuelle Entwicklung sollte daher nicht zu einer isolierten Suche nach CVE-2019-1068 führen. Sinnvoller ist die weitergehende Frage:

Welche geschäftskritischen Systeme laufen im eigenen Unternehmen noch mit alten Softwareständen, obwohl Sicherheitsupdates oder neuere Produktversionen längst verfügbar sind?

CVE-2019-1068 ist dafür ein aktuelles Beispiel.

Fazit

CVE-2019-1068 ist keine neue Schwachstelle. Sie wurde 2019 veröffentlicht und bereits damals von Microsoft behoben.

Neu und sicherheitsrelevant ist, dass CISA am 26. August 2026 die Ausnutzung der Schwachstelle durch die Aufnahme in den Known Exploited Vulnerabilities Catalog bestätigt hat.

Unternehmen mit Microsoft SQL Server 2014, 2016 oder 2017 sollten deshalb ihren tatsächlichen Patchstand kontrollieren. Gleichzeitig ist die Meldung ein Anlass, ältere SQL-Server-Versionen, Servicekonten, Netzwerkzugriffe und bestehende Migrationspläne grundsätzlich zu überprüfen.

Denn das Problem ist in diesem Fall nicht, dass ein Patch fehlt.

Der Patch existiert seit sieben Jahren. Entscheidend ist, ob er auch installiert wurde.

Quellen

  • CISA Known Exploited Vulnerabilities Catalog
  • Microsoft Security Response Center: CVE-2019-1068
  • Microsoft Security Updates für SQL Server, Juli 2019
  • National Vulnerability Database: CVE-2019-1068
  • Microsoft Lifecycle: SQL Server 2014, 2016 und 2017