Microsoft lanzó actualizaciones de seguridad el 13 de enero de 2026, abordando una vulnerabilidad crítica de elevación de privilegios en SQL Server que permite a atacantes autorizados eludir controles de autenticación y obtener privilegios elevados del sistema de forma remota.

Registrada como CVE-2026-20803, la vulnerabilidad surge por la ausencia de mecanismos de autenticación para funciones críticas dentro del motor de la base de datos.

El fallo afecta a múltiples versiones de SQL Server, incluyendo SQL Server 2022 y la recientemente lanzada SQL Server 2025. Con una puntuación CVSS de 7.2, Microsoft clasificó la vulnerabilidad como de severidad “Importante”.

El ataque requiere privilegios altos y acceso a la red, pero una vez explotado, otorga a los atacantes capacidades de alto impacto, como volcado de memoria y acceso de depuración, lo que podría abrir puertas a un mayor compromiso del sistema.

Detalles e impacto de la vulnerabilidad

CVE-2026-20803 explota CWE-306, una debilidad relacionada con la falta de autenticación para funciones críticas.

La vulnerabilidad permite a usuarios autenticados con permisos elevados escalar su acceso más allá de los límites previstos sin interacción del usuario.

Un atacante que explote con éxito este fallo podría obtener privilegios de depuración, volcar contenidos sensibles de la memoria y potencialmente acceder a datos cifrados o extraer credenciales de bases de datos almacenadas en memoria.

La vulnerabilidad recibió una evaluación de “Poco probable” en cuanto a su explotabilidad en el momento de la publicación, lo que indica que requiere condiciones previas específicas y es poco probable que sea explotada de manera generalizada a corto plazo.

Sin embargo, Microsoft no ha revelado informes de explotación activa o intentos de divulgación pública.

Microsoft proporcionó actualizaciones de seguridad para las versiones afectadas de SQL Server a través de las vías de General Distribution Release (GDR) y Cumulative Update (CU).

Las organizaciones que ejecutan SQL Server 2022 deben aplicar las actualizaciones CU22 (compilación 16.0.4230.2) o RTM GDR (compilación 16.0.1165.1). Los usuarios de SQL Server 2025 deben instalar la actualización GDR de enero (compilación 17.0.1050.2).

Las organizaciones deben priorizar la aplicación de parches en sistemas expuestos a Internet o aquellos que manejan datos sensibles.

Microsoft recomienda revisar las arquitecturas de implementación y restringir el acceso administrativo para minimizar el riesgo de explotación durante las ventanas de actualización.