Microsoft SQL Server に遠隔コード実行の脆弱性（CVE-2019-1068）― データベースの「サービスアカウント権限」で動くという意味

1「サービスアカウントのコンテキスト」が意味すること

遠隔コード実行の脆弱性を読むとき、実行される権限が何かは影響の大きさを決める中心的な情報です。本件で示されているのは、SQL Server データベースエンジンが動作しているサービスアカウントの権限です。このアカウントはデータベースのファイル、バックアップ、ログ、そして構成に対する権限を持ちます。

つまり攻撃者は、データベースに保存された内容へアクセスできるだけでなく、データベースの動作そのものに手を入れられる位置に立つことになります。

2データベースサーバが標的になる理由

業務システムの構成では、アプリケーションが外に面し、データベースは内側に置かれるのが一般的です。この配置は、データベースへの直接の到達を難しくする一方で、いったん到達されたときの防御が薄くなりがちだという副作用も持ちます。内側にあるから安全という前提で、更新の適用が後回しにされることも珍しくありません。KEVへの追加は、その前提が成り立たない場面が実際に観測されたことを示します。

3是正期限が3日である

KEV追加が2026年8月26日、是正期限が8月29日で、猶予は3日です。当サイトが収録している他のKEV項目には、同時期の追加でも2週間の期限が付いているものがあります。BOD 26-04 のもとで期限がリスクに応じて設定されるようになったため、同じカタログの中に異なる緊急度が併存する形になりました。期限の日数そのものが、その項目の扱いの重さを示す情報になります。

4外に面する層と、内側に置かれる層

業務システムの構成では、アプリケーションが外に面し、データベースは内側に置かれるのが一般的です。この配置は守りを厚くする一方で、別の弱さを生みます。

KEVへの追加は、内側にあるから安全という前提が成り立たない場面が実際に観測されたことを示します。KEV追加が2026年8月26日、是正期限が8月29日で、猶予は3日です。データベースサーバは停止調整が難しく更新が最も後回しになりやすい層であり、3日という期限は、パッチ適用の手順を平時に決めておかなければ物理的に間に合わないことを意味します。