SCHWEIZ / LONDON (IT BOLTWISE) – Sicherheitsforscher berichten von einer jahrzehntealten SQL-Injection-Lücke, die Angreifern die Kontrolle über Windows-Server verschaffen kann. In einem dokumentierten Fall nutzten Täter eine Java/Tomcat-Umgebung, um über eine Oracle-Datenbank einen System-Einbruch einzuleiten. Nach dem Start weiteten sie die Rechte bis auf SYSTEM-Ebene aus und kopierten hochsensible SAM-, SECURITY- und SYSTEM-Dateien. Parallel dazu rücken Missbrauchsszenarien rund um WSUS und eine Cloud-Schwachstelle mit hohem CVSS-Score in den Fokus.
Die aktuelle Lage wirkt wie ein Lehrbuch dafür, wie aus „alten“ Softwarefehlern ein sehr modernes Kompromittierungsmodell wird. Laut Angaben aus der Sicherheitsforschung wird eine jahrzehntealte SQL-Injection-Schwachstelle für Windows-Server als Ursache beschrieben, die Unbefugten eine vollständige Kontrolle ermöglichen kann. Das entscheidende Muster steckt nicht nur in der Datenbank selbst, sondern in der Brücke zwischen Web-Anwendung, Datenbankzugriff und nachgelagerter Betriebssystemumgebung. Genau dort entstehen in vielen Unternehmen die größten Lücken in der Segmentierung und in der Annahme, dass ein Einbruch in einem Teilbereich automatisch isoliert bleibt.
Im dokumentierten Vorfall gelang der Einstieg über eine Java/Tomcat-Anwendung, die Schwachstellenklassikern wie „ungeprüfte Eingaben“ und fehlenden Parameterisierungen folgt. Die Angreifer sollen die SQL-Injection genutzt haben, um über eine Oracle-Datenbank den Windows-Server zu kompromittieren. Besonders auffällig ist, dass sie ein Fernwartungs-Toolkit namens „khunt“ in der Datenbankumgebung versteckt haben, um später ohne sofortige Entdeckung weitere Schritte auszuführen. Nach dem ersten Zugriff wurde die Berechtigungsstufe dann auf SYSTEM-Ebene ausgeweitet. Damit konnten die Angreifer hochsensible Dateien kopieren – darunter die kritischen SAM-, SECURITY- und SYSTEM-Dateien, die für die Serversicherheit und Authentifizierung eine zentrale Rolle spielen.
Dass es sich nicht um ein isoliertes Datenbankproblem handelt, zeigen die weiteren Forschungsergebnisse zur Serververwaltung und zum Update-Ökosystem. So wird beschrieben, dass Angreifer Microsoft Windows Server Update Services (WSUS) missbrauchen können, um schädliche Updates zu verteilen. Der technische Hebel liegt in NTLM-Relay-Angriffen auf WSUS-Server, wobei ein separater SQL-Server eine Rolle in der Kette spielt. Auf diesem Weg sollen Angreifer dann gespeicherte Prozeduren so ausführen können, dass unautorisierte Softwarepakete in die Zielumgebungen gelangen. Für IT-Leitungen bedeutet das: Patch- und Vulnerability-Management ist nicht nur ein „Vormerken und Installieren“, sondern auch ein Absichern der Infrastrukturkomponenten, über die Updates und Vertrauensbeziehungen laufen.
Auch im Cloud-Umfeld taucht eine Schwachstelle mit deutlichem Risikoprofil auf: Für den Azure SRE Agent wurde laut Angaben eine Privilegienausweitung mit der Kennung CVE-2026-62830 identifiziert. Der Fehler erhielt einen CVSS-Score von 9,9; ebenso entscheidend ist die Aussage, dass kein Patch auf Kundenseite notwendig gewesen sei, weil der Anbieter den Fehler serverseitig behoben hat. Diese Kombination aus sehr hoher Bewertung und „providerseitiger“ Behebung verändert die Priorisierung: Unternehmen müssen ihre eigenen Reaktionsläufe zwar weiterhin dokumentieren, brauchen aber oft weniger manuelle Workarounds als bei klassischen Lücken, die direkt am Kundensystem greifen. Trotzdem bleibt das Grundprinzip gleich: Wer ein Cloud-Service nutzt, muss weiterhin prüfen, welche Komponenten wirklich beim Anbieter verbleiben und wo eigene Betriebs- oder Agent-Installationen angreifbar bleiben.
Die Relevanz geht über einzelne CVEs hinaus. Der Verizon Data Breach Investigations Report ordnet Schwachstellen-Ausnutzung als häufigsten initialen Zugangsvektor ein: In der Analyse von 31.000 Vorfällen und 22.000 Sicherheitsverletzungen zwischen Oktober 2024 und November 2025 wird dieser Einstieg für 145 Länder als vorrangiges Muster beschrieben. Damit lässt sich die technische Meldung aus der Sicherheitsforschung auch operativ begründen: Wenn viele Angriffe mit einem ausgenutzten Fehler starten, dann wird ein schneller, nachvollziehbarer Patch- und Prüfprozess zum zentralen Sicherheitswerkzeug. In der gleichen Richtung bewegen weitere Hinweise zu bereits bekannt gewordenen Schwachstellen in gängigen Komponenten wie Server-Software und Monitoring-Tools, bei denen CISA Teile des Katalogs bekannter ausgenutzter Lücken ergänzt hat.
Während Organisationen versuchen, ihre Angriffsflächen zu reduzieren, zeigt ein behördliches Beispiel, dass kompromittierte Umgebungen nicht automatisch „nur in der Theorie“ bleiben. Laut den Angaben wurde am 28. Juli 2026 ein Einbruch in die SharePoint-Umgebung des Schweizer Bundesamts für Informatik entdeckt; rund 200 Konten sollen betroffen gewesen sein, der externe Zugriff wurde blockiert und Systeme gepatcht. Forscher untersuchen dabei mögliche Verbindungen zu den Schwachstellen CVE-2026-56164 oder CVE-2026-50522. Für den Betrieb heißt das: Incident Response ist nicht erst am Tag „nach dem Alarm“ relevant, sondern bereits vorab in Form von Logging-Anforderungen, Zugriffskontrollen und dem schnellen Durchziehen von Korrekturen, sobald belastbare Indikatoren auftauchen.
Zur technischen Gegenstrategie gehört zudem, dass Patch-Fenster und Upgrade-Zyklen eng aufeinander abgestimmt werden. In den Tagen vor der Offenlegung werden mehrere kritische Patches beschrieben: WordPress schloss am 6. August 2026 eine Lücke mit der Kennung CVE-2026-64638, Apache veröffentlichte Hinweise mit insgesamt 19 Schwachstellen, darunter neun als kritisch eingestufte Fehler, die vor allem Apache CXF und APR-util betreffen. Darüber hinaus werden in den CISA-Katalog-Aufnahmen auch ein Authentifizierungs-Bypass in N-able N-central (CVE-2026-18577) sowie ein Denial-of-Service in SolarWinds Serv-U (CVE-2026-28318) genannt; Bundesbehörden sollen angehalten worden sein, den N-able-Fehler bis zum 6. August zu beheben. Wer das eins zu eins in Prozesse übersetzt, sollte nicht nur „installieren, sobald möglich“ als Ziel setzen, sondern die Abhängigkeiten zwischen Web-, Datenbank-, Update- und Agent-Komponenten in den Mittelpunkt stellen – denn genau diese Ketten machen aus einer Schwachstelle einen vollständigen Einbruch.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Windows-Server: SQL-Injection und WSUS-Angriffe zeigen akute Patch-Lücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Windows-Server: SQL-Injection und WSUS-Angriffe zeigen akute Patch-Lücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Windows-Server: SQL-Injection und WSUS-Angriffe zeigen akute Patch-Lücken« bei Google Deutschland suchen, bei Bing oder Google News!