CISA potwierdziła w sierpniu 2026 ataki na lukę w SQL Server 2014, 2016 i 2017 załataną w 2019 roku. Zalogowany napastnik może przejąć serwer bazy. Zaktualizuj instancje i sprawdź logi.
Ten alert jest dla zarządu, CTO i CFO firm, które utrzymują własne bazy danych Microsoft SQL Server 2014, 2016 lub 2017. Werdykt: jeśli któraś instancja nie ma poprawek z lipca 2019 roku albo działa na wydaniu bez wsparcia, zajmij się nią dziś, bo CISA potwierdziła w sierpniu 2026 roku, że ta stara luka jest wykorzystywana w atakach.
26 sierpnia 2026 roku amerykańska agencja CISA dopisała CVE-2019-1068 do katalogu KEV, czyli listy podatności, co do których ma dowody wykorzystania w prawdziwych atakach. To luka w silniku bazy danych Microsoft SQL Server, którą Microsoft załatał już 9 lipca 2019 roku. Napastnik, który ma dostęp do bazy na zwykłym koncie, może uruchomić własny kod na serwerze z uprawnieniami konta, na którym działa usługa SQL Server.
CISA dała agencjom federalnym tylko trzy dni na reakcję (do 29 sierpnia 2026 roku) i oznaczyła lukę jako wymagającą analizy powłamaniowej. Oznacza to, że sama aktualizacja nie wystarcza: trzeba też sprawdzić, czy serwer nie został już przejęty. Jak dokładnie luka jest dziś wykorzystywana, publicznie nie wiadomo.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2019-1068 |
Data dodania do CISA KEV | 2026-08-26 |
Termin naprawy wg CISA | 2026-08-29 (wymagana także analiza powłamaniowa) |
Produkt | Microsoft SQL Server, silnik bazy danych (Database Engine) |
Wersje zagrożone | Wg Microsoft: SQL Server 2014 SP2 i SP3 (32 i 64 bit), SQL Server 2016 SP1 i SP2, SQL Server 2017, w ścieżkach GDR i CU, bez poprawek z lipca 2019. Dotyczy też SQL Server 2017 na Linuksie, w kontenerach Docker i w maszynach wirtualnych Azure. Atak wymaga zalogowania do bazy |
Wersje bezpieczne | Aktualizacje z 9 lipca 2019: KB4505217 i KB4505419 (2014 SP2), KB4505218 i KB4505422 (2014 SP3), KB4505219 i KB4505221 (2016 SP1), KB4505220 i KB4505222 (2016 SP2), KB4505224 i KB4505225 (2017) oraz każda późniejsza aktualizacja danej gałęzi. Wg NVD m.in. 2017 od kompilacji 14.0.2027.2 (GDR) i 14.0.3192.2 (CU). Wydania spoza tabeli Microsoft wymagają przejścia na wspierany Service Pack lub nowszą wersję |
Typ podatności | Wykonanie kodu na odległość przez niepoprawne przetwarzanie funkcji wewnętrznych; CWE-20 (niewłaściwa walidacja danych wejściowych) wg CISA, NVD: brak klasyfikacji |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, NVD i CISA): atak przez sieć, niskie uprawnienia, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność. CVSS 2.0 wg NVD: 6.5. Waga wg Microsoft: ważna |
Wyobraź sobie archiwum firmy, do którego wielu pracowników ma kartę czytelnika: mogą składać zamówienia na dokumenty przez okienko. Archiwista realizuje każde zamówienie. Okazuje się jednak, że odpowiednio sformułowane zamówienie sprawia, iż archiwista nie tylko podaje dokument, ale wykonuje dowolne polecenie zapisane na kartce, z własnym kluczem do całego budynku.
Tak działa ta luka. Serwer SQL przyjmuje zapytania od zalogowanych użytkowników i aplikacji. Błąd w przetwarzaniu jednej z wewnętrznych funkcji pozwala osobie z dostępem do bazy uruchomić własny kod na serwerze. Im szersze uprawnienia ma konto, na którym działa usługa SQL Server, tym dalej napastnik może sięgnąć: od danych w bazie po cały serwer Windows.
💡 SQL Server to system bazodanowy Microsoft, na którym często działają ERP, CRM, systemy księgowe i magazynowe. GDR i CU to dwie ścieżki aktualizacji: GDR zawiera tylko poprawki bezpieczeństwa, CU także poprawki funkcjonalne; każda ma własny numer KB. Service Pack to duży pakiet poprawek; starsze Service Packi tracą wsparcie wcześniej niż sama wersja. Konto usługi to konto Windows, z którego uprawnieniami działa baza.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Użytkownik aplikacji z dostępem do bazy | Czyta i zapisuje tylko dane, do których ma prawo | Może uruchomić własny kod na serwerze |
Konto usługi SQL Server z szerokimi uprawnieniami | Ryzyko ograniczone do awarii | Napastnik przejmuje cały serwer Windows |
Wyciek hasła do konta aplikacji | Dostęp do części danych | Punkt wyjścia do przejęcia serwera |
Stara instancja „do raportów” | Mało ważna, rzadko aktualizowana | Łatwy cel i przyczółek do reszty sieci |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu: publicznie nie wiadomo, jak luka jest wykorzystywana. Wg Microsoft napastnik musi być zalogowany do bazy, więc pierwszym krokiem jest zdobycie jakiegokolwiek konta.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Dostęp do bazy | T+0 | Wykradzione lub słabe hasło konta aplikacji, przejęty serwer aplikacji, baza wystawiona do internetu | Zwykłe konto w SQL Server |
2. Wykorzystanie luki | T+minuty | Wysłanie spreparowanego zapytania do niezałatanej instancji | Kod działa z uprawnieniami usługi SQL Server |
3. Utrwalenie | T+godziny | Założenie kont, zadań lub usług, które przetrwają restart | Stały dostęp do serwera |
4. Kradzież danych | T+godziny do dni | Kopiowanie danych klientów, finansów, haseł | Wyciek danych |
5. Ruch w sieci | T+dni | Użycie haseł z serwera do wejścia na inne maszyny | Przejęcie kolejnych systemów |
6. Szantaż lub sabotaż | T+dni do tygodni | Szyfrowanie baz i kopii, żądanie okupu | Przestój ERP, księgowości, sprzedaży |
Na SQL Server działa kręgosłup wielu polskich firm: systemy ERP, księgowość, magazyn, CRM. Stare wersje 2014 i 2016 często zostają „bo działają”, a ich aktualizacja jest odkładana z obawy przed przestojem. Wpis w KEV siedem lat po wydaniu poprawki pokazuje, że napastnicy szukają właśnie takich zaniedbanych instancji.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie ERP, fakturowania, magazynu po zaszyfrowaniu bazy | Dni od włamania | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych klientów, kontrahentów, płac | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Utracona sprzedaż, koszty specjalistów, ewentualny okup | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Informowanie klientów o wycieku, utrata zaufania kontrahentów | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla SQL Server 2014/2016/2017
bez poprawek z lipca 2019
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo CISA potwierdza ataki, a kod PoC jest publiczny od 2021 roku; wpływ jest wysoki, a nie maksymalny, bo napastnik potrzebuje najpierw konta w bazie, a skutki zależą od uprawnień konta usługi.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie instancje SQL Server z wersją i numerem kompilacji, także w maszynach wirtualnych, kontenerach i chmurze | Dziś | Administrator baz danych |
2 | 🔴 NATYCHMIAST | Odciąć od internetu instancje dostępne z zewnątrz | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zainstalować właściwą aktualizację (GDR lub CU) na wersjach 2014 SP3 i 2017 oraz najnowszy Service Pack na 2016 | Do 48 godzin | Administrator baz danych |
4 | 🟠 PILNIE | Przejrzeć logi SQL Server i Windows pod kątem nowych kont, zadań i nietypowych procesów | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić, na jakim koncie działa usługa SQL Server, i odebrać nadmiarowe uprawnienia | Do 7 dni | Administrator |
6 | 🟠 PILNIE | Zdecydować o wersjach bez wsparcia (2014 bez ESU, 2016 po lipcu 2026): ESU, migracja lub wyłączenie | Do 14 dni | CTO |
7 | 🟡 WAŻNIE | Zmienić hasła kont aplikacyjnych w bazach i usunąć nieużywane loginy | Do 30 dni | Administrator baz danych |
Microsoft wydał poprawki w lipcu 2019 roku i nie podaje obejścia. Dla wydań bez wsparcia (np. 2014 SP2, 2016 SP1 i SP2) jedyną drogą jest przejście na wspierany Service Pack lub nowszą wersję. Poniższe środki ograniczają ryzyko, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do portu bazy tylko z serwerów aplikacji (zapora, segmentacja) | Wysoka | Łatwa do średniej |
Usługa SQL Server na koncie o minimalnych uprawnieniach, nie administratora | Średnia: ogranicza skutki | Średnia |
Usunięcie zbędnych loginów i silne hasła kont aplikacyjnych | Średnia | Łatwa |
Monitorowanie logowań i zmian w SQL Server Agent | Niska do średniej: wykrywa, nie blokuje | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Instancje SQL Server | Nikt nie zna pełnej listy wersji | Lista z numerami kompilacji i właścicielami |
Dostęp do bazy | Możliwy z całej sieci lub internetu | Tylko z serwerów aplikacji |
Konto usługi | Szerokie uprawnienia, czasem administrator | Konto dedykowane, minimalne uprawnienia |
Stare wydania | Działają bez poprawek | Zaktualizowane, objęte ESU lub zmigrowane |
Ślady włamania | Niesprawdzone | Logi przejrzane, wynik udokumentowany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, 2026-08-26; SSVC CISA: wykorzystanie aktywne). Biuletyn Microsoft z 2019 roku nadal podaje „niewykorzystywana”, co jest stanem sprzed wpisu CISA |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, NVD i CISA); 6.5 w CVSS 2.0 (NVD); waga Microsoft: ważna |
PoC dostępny publicznie? | TAK: publiczne repozytorium z analizą i kodem PoC od lutego 2021 roku; Microsoft oznaczył lukę jako ujawnioną publicznie |
Liczba atakowanych firm | Brak publicznych informacji |
Wsparcie wersji | SQL Server 2014: koniec rozszerzonego wsparcia 2024-07-09 (dalej płatne ESU); 2016: koniec 2026-07-14; 2017: wsparcie do 2027-10-12 |
Sygnały zagrożenia dla CVE-2019-1068
CVSS 3.1 (NVD, CISA) 8.8/10 █████████████████░░░ WYSOKA
Waga Microsoft Ważna ████████████░░░░░░░░ nie krytyczna
PoC publiczny TAK ████████████████████ od 2021
CISA KEV TAK ████████████████████ ataki potwierdzone
Termin CISA 3 dni ████████████████████ najkrótszy możliwy 2019-07-09 Microsoft wydaje poprawki dla SQL Server 2014, 2016 i 2017
2019-07-15 Publikacja CVE-2019-1068 w NVD
2019-12-03 Ostatnia rewizja biuletynu Microsoft (poprawka literówki)
2021-02-04 Publiczne repozytorium z analizą i kodem PoC
2024-07-09 Koniec rozszerzonego wsparcia SQL Server 2014
2026-07-14 Koniec rozszerzonego wsparcia SQL Server 2016
2026-08-26 CISA dodaje lukę do katalogu KEV
2026-08-29 Termin naprawy wg CISA
... 19 dni po terminie CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn Microsoft z listą aktualizacji: MSRC, CVE-2019-1068 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2019-1068 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę instancji SQL Server z wersją, kompilacją i informacją, czy są dostępne z internetu | CTO | DZISIAJ |
2 | Zatwierdzić okno serwisowe na aktualizację baz, także systemów ERP i księgowych | CTO | DZISIAJ |
3 | Zlecić przegląd logów pod kątem śladów włamania na niezałatanych serwerach | CTO | DO JUTRA |
4 | Ustalić, które bazy działają na wersjach bez wsparcia i kto jest ich właścicielem biznesowym | CTO | DO JUTRA |
5 | Oszacować koszt ESU lub migracji SQL Server 2014 i 2016 | CFO | DO JUTRA |
6 | Sprawdzić w umowach z dostawcami ERP, kto odpowiada za aktualizację bazy | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące systemów bez wsparcia | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy instancji SQL Server 2014, 2016 i 2017 i jakie mają numery kompilacji? | [liczba], [wersja] | 🔴 |
2 | Czy któraś instancja jest dostępna z internetu? | TAK / NIE | 🔴 |
3 | Czy wszystkie instancje mają poprawki z lipca 2019 lub nowsze? | TAK / NIE | 🔴 |
4 | Kiedy przejrzeliśmy logi baz pod kątem śladów włamania po 26 sierpnia 2026? | [data] | 🔴 |
5 | Na jakim koncie działa usługa SQL Server i czy ma uprawnienia administratora? | [konto], TAK / NIE | 🟠 |
6 | Czy mamy bazy na wersjach bez wsparcia i czy są objęte ESU? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio testowaliśmy odtworzenie bazy ERP z kopii zapasowej? | [data] | 🟡 |
CVE-2019-1068 to siedmioletnia luka w SQL Server 2014, 2016 i 2017, którą CISA w sierpniu 2026 roku uznała za aktywnie wykorzystywaną, z publicznym kodem PoC i wymogiem analizy powłamaniowej. Poprawki istnieją od lipca 2019 roku, więc realnym problemem są zapomniane instancje i wersje bez wsparcia. Inwentaryzacja, aktualizacja i przegląd logów to zadania na ten tydzień, a decyzja o migracji starych baz na najbliższy kwartał.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.