CVE-2026-65669: Vulnerabilidade de Elevação de Privilégio por Injeção no Microsoft SQL Server Management Studio

Visão geral

A Microsoft publicou um aviso para a CVE-2026-65669, uma falha de injeção classificada como CWE-74 (Injeção). O registro a descreve como neutralização imprópria de elementos especiais em uma saída usada por um componente a jusante no SQL Server, o que permite que um atacante não autorizado eleve privilégios pela rede. Os produtos afetados no registro são versões do SQL Server Management Studio. Consulte o guia de atualizações da MSRC para os detalhes oficiais do fabricante.

Impacto

O registro atribui pontuação base CVSS 3.1 de 9.6 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H. Isso indica vetor de rede, nenhum privilégio exigido, interação do usuário exigida, mudança de escopo e alto impacto na confidencialidade, integridade e disponibilidade.
Dois provedores no registro informam a mesma pontuação: secure@microsoft.com e microsoft.
Os dados SSVC do registro classificam o impacto técnico como total.

Produtos afetados e versões

Microsoft SQL Server Management Studio: de 22.0 até antes de 22.8.2.
Microsoft SQL Server Management Studio 22: de 22.0 até antes de 22.8.2.
A descrição do registro menciona o SQL Server, enquanto os produtos listados são o Management Studio. Confirme o escopo exato no aviso da MSRC.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto essa fonte não confirma exploração ativa.
Nenhuma exploração confirmada aparece nas fontes consultadas.
O registro indica exploração SSVC como none e automatizável como no. A probabilidade EPSS é 0.00863, com percentil 0.58218, datada de 2026-10-23.

Correção e mitigação

Aplique a correção do fabricante referenciada no registro. Como a faixa afetada termina antes de 22.8.2, a atualização para 22.8.2 ou versão posterior é o caminho provável (inferência; verifique na MSRC).
Faça um inventário de todas as estações e servidores onde o SQL Server Management Studio 22 está instalado e registre suas versões.
Limite quem pode acessar e usar as ferramentas administrativas e contas de banco de dados até a aplicação das atualizações, seguindo o princípio do menor privilégio.

Orientações de detecção

Revise os inventários de software em busca de versões do SSMS abaixo de 22.8.2 dentro da faixa afetada.
Monitore os logs do banco de dados e dos hosts em busca de alterações inesperadas de privilégios, atividade administrativa incomum ou sessões elevadas inesperadas.
Relacione os alertas à responsabilidade pelos ativos para priorizar a correção em sistemas que aceitam conexões de rede vindas de segmentos menos confiáveis.

Limitações das informações disponíveis

O registro não descreve o componente vulnerável específico, o vetor de injeção nem as condições de exploração além do vetor CVSS.
A descrição e a lista de produtos afetados se referem a escopos diferentes (SQL Server e Management Studio), o que o registro não resolve.
A versão corrigida não é informada explicitamente; 22.8.2 é inferida a partir do limite superior da faixa afetada.
Não havia detalhes de exploração, prova de conceito ou análises de terceiros no registro.

Perguntas frequentes

A CVE-2026-65669 é conhecida por ser explorada em ataques reais?

O registro não lista esta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00863.

Quais versões são afetadas?

O registro lista o SQL Server Management Studio e o Management Studio 22, de 22.0 até antes de 22.8.2.

Qual é a gravidade?

O registro atribui pontuação base CVSS 3.1 de 9.6, classificada como crítica, com vetor de rede e nenhum privilégio exigido.

O que os administradores devem fazer primeiro?

Inventariar as instalações do SSMS, aplicar a atualização do fabricante referenciada pela MSRC e verificar a versão corrigida no aviso, pois o registro não a informa explicitamente.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.