Panorama e cronologia
O problema, rastreado como CVE-2025-59499 (CVSS 8.8), foi divulgado em 11 de novembro de 2025. As fontes indicam que as versões afetadas incluem SQL Server 2016, 2017, 2019 e 2022. A Microsoft publicou atualizações tanto pelos canais GDR quanto CU.
Vetor e técnica de exploração
Segundo o boletim, a falha decorre do tratamento inadequado de caracteres especiais em comandos SQL, permitindo que nomes de bancos de dados especialmente fabricados contenham payloads que são interpretados como T-SQL quando processados. Um usuário com privilégios limitados pode, portanto, injetar comandos que serão executados com os privilégios do processo que roda a consulta.
Quando o processo for executado com privilégios de sysadmin, a exploração resulta em controle total da instância SQL Server — leitura, modificação ou exclusão de dados, criação de contas e execução de comandos de sistema.
Impacto e exposição
- CVE: CVE-2025-59499
- CVSS: 8.8 (High)
- Vulnerabilidades afetam: SQL Server 2016, 2017, 2019 e 2022
- Vetor: rede; Complexidade: baixa; Privilégios necessários: baixos; Interação do usuário: nenhuma
Essas características tornam a falha particularmente perigosa em servidores de banco de dados expostos à rede ou em ambientes onde processos rodam com privilégios elevados.
Mitigação e recomendações
A Microsoft disponibilizou patches e recomenda-se que administradores apliquem imediatamente as atualizações apropriadas por meio dos canais GDR ou CU correspondentes à versão em uso. Além da aplicação do patch, as organizações devem:
- Rever quem tem permissão para criar/gerenciar nomes de bancos de dados;
- Isolar instâncias SQL expostas à internet ou colocá-las atrás de controles de acesso estritos;
- Auditar processos que rodem com privilégios de sistema para reduzir a superfície de ataque;
- Executar varreduras e testes de penetração focados em manipulação de nomes de objeto no banco.
O que sabemos e limites
As fontes informam que a vulnerabilidade foi identificada por pesquisadores da Microsoft e que, no momento da divulgação, não há indicação pública de exploração em massa. As informações também apontam que a falha foi classificada como SQL injection (CWE-89). Fontes não afirmam a existência de exploits públicos ou uso ativo em ataques direcionados.
Prioridade operacional
Administradores devem priorizar aplicação dos patches em ambientes de produção e testá-los em ambientes de staging antes de rollout amplo. Para instâncias que não podem ser atualizadas imediatamente, recomenda-se restringir o acesso de rede e revisar privilégios de serviço até que a correção seja aplicada.