KB5089899 — Mise à jour de sécurité pour SQL Server 2025 CU4

Aperçu

KB5089899 est une mise à jour de sécurité critique publiée le 12 mai 2026 pour Microsoft SQL Server 2025 Cumulative Update 4 (CU4). Cette mise à jour corrige plusieurs vulnérabilités de haute gravité dans divers composants de SQL Server, y compris le moteur de base de données, les services d'analyse, les services de rapport et les services d'intégration.

Vulnérabilités de sécurité corrigées

Cette mise à jour de sécurité résout quatre vulnérabilités critiques qui pourraient potentiellement compromettre les installations de SQL Server :

CVE-2026-0145 - Exécution de code à distance dans le moteur de base de données

Une vulnérabilité critique dans le moteur de base de données SQL Server permet aux attaquants authentifiés d'exécuter du code arbitraire avec des privilèges élevés. La vulnérabilité réside dans le mécanisme d'analyse des instructions T-SQL où une validation insuffisante des entrées peut conduire à des conditions de débordement de tampon.

CVE-2026-0146 - Divulgation d'informations dans les services d'analyse

Une vulnérabilité de divulgation d'informations dans les services d'analyse SQL Server pourrait permettre aux attaquants d'accéder à des données sensibles de la mémoire du serveur. Le problème affecte le traitement des requêtes MDX et les routines de gestion de la mémoire.

CVE-2026-0147 - Cross-Site Scripting dans les services de rapport

Une vulnérabilité de cross-site scripting dans les services de rapport SQL Server permet aux attaquants d'injecter des scripts malveillants dans les pages web. Cela affecte les composants Report Manager et Web Service.

CVE-2026-0148 - Escalade de privilèges dans les services d'intégration

Une vulnérabilité d'escalade de privilèges dans les services d'intégration SQL Server permet aux utilisateurs peu privilégiés d'obtenir des permissions système élevées grâce à une validation de contrôle d'accès incorrecte.

Systèmes affectés

Cette mise à jour de sécurité s'applique spécifiquement à :

Détails techniques

La mise à jour de sécurité modifie les composants principaux de SQL Server pour corriger les vulnérabilités identifiées :

Mises à jour du moteur de base de données

Le moteur de base de données reçoit des améliorations significatives de sécurité, y compris une meilleure gestion de la mémoire, une validation améliorée des entrées pour les instructions T-SQL et une protection renforcée contre le débordement de tampon. La mise à jour affecte les fichiers principaux du moteur, y compris sqlservr.exe, sqlos.dll et sqldk.dll.

Améliorations des services d'analyse

Les composants des services d'analyse reçoivent des améliorations de protection de la mémoire et des mécanismes de désinfection des données améliorés. Les fichiers clés mis à jour incluent msmdsrv.exe, msmdlocal.dll et msolap.dll.

Sécurité des services de rapport

Les services de rapport reçoivent des améliorations complètes de validation des entrées et d'encodage des sorties pour prévenir les attaques XSS. Les composants mis à jour incluent ReportingServicesService.exe et les bibliothèques de services web associées.

Renforcement des services d'intégration

Les services d'intégration mettent en œuvre une vérification améliorée des privilèges et une validation du contrôle d'accès pour empêcher l'élévation non autorisée des privilèges lors de l'exécution des packages.

Processus d'installation

KB5089899 peut être installé par plusieurs méthodes selon votre environnement et vos besoins :

Installation autonome

Téléchargez le package autonome depuis le catalogue Microsoft Update et exécutez l'installateur avec des privilèges administratifs. Le processus d'installation gérera automatiquement les dépendances de service et les redémarrages requis.

Déploiement en entreprise

Pour les environnements d'entreprise, la mise à jour peut être déployée via System Center Configuration Manager (SCCM) ou Windows Server Update Services (WSUS). Créez des packages de déploiement appropriés et planifiez l'installation pendant les fenêtres de maintenance.

Vérification

Après l'installation, vérifiez que la mise à jour a été appliquée avec succès en vérifiant la version de SQL Server :

SELECT @@VERSION

La version devrait afficher Build 16.0.4125.4 ou supérieur, indiquant que la mise à jour de sécurité a été appliquée.

Considérations post-installation

Après l'installation de KB5089899, les administrateurs devraient :

• Vérifier que tous les services SQL Server démarrent correctement
• Tester les applications critiques et les procédures stockées
• Surveiller les performances du système pour tout changement inattendu
• Mettre à jour les assemblages CLR personnalisés si nécessaire
• Examiner les journaux de sécurité pour tout événement lié à l'installation