Microsoft SQL Server xavf ostida: tarmoq orqali imtiyozlarni oshirishga yo‘l ochilgan

2026-yil 13-yanvar kuni Microsoft kompaniyasi o‘zining navbatdagi xavfsizlik yangilanishlarini e’lon qildi. Ushbu yangilanishlar doirasida Microsoft SQL Server’ga ta’sir qiluvchi jiddiy imtiyozlarni oshirish (Elevation of Privilege) zaifligi bartaraf etildi. Mazkur kamchilik hujumchilarga tarmoq orqali autentifikatsiya nazoratlarini chetlab o‘tib, tizimda yuqori darajadagi huquqlarga ega bo‘lish imkonini bergan.

Ushbu zaiflik CVE-2026-20803 identifikatori ostida ro‘yxatga olingan bo‘lib, Microsoft tomonidan “Important” (Muhim) darajada baholangan. CVSS v3.x shkalasi bo‘yicha bahosi 7.2 ballni tashkil etadi.

Zaiflik qaysi versiyalarga ta’sir ko‘rsatadi?

CVE-2026-20803 bir nechta SQL Server versiyalarida aniqlangan bo‘lib, ular orasida:

  • Microsoft SQL Server 2022
  • Yangi chiqarilgan Microsoft SQL Server 2025

ham mavjud. Ayniqsa, SQL Server’ning korporativ muhitlarda keng qo‘llanilishi ushbu zaiflikning ahamiyatini yanada oshiradi.

Texnik sabab: muhim funksiyalar uchun autentifikatsiyaning yo‘qligi

Mazkur zaiflik CWE-306 — muhim funksiyalar uchun autentifikatsiya mexanizmining yetishmasligi bilan bog‘liq. SQL Server’ning ma’lumotlar bazasi dvijogida ayrim kritik funksiyalar yetarli darajada himoyalanmagan bo‘lib, bu holat ruxsat etilgan, ammo allaqachon yuqori huquqlarga ega foydalanuvchilarga o‘z vakolatlarini belgilangan chegaralardan tashqariga kengaytirish imkonini bergan.

Boshqacha aytganda, hujumchi tizimga allaqachon kirish huquqiga ega bo‘lishi kerak, biroq ushbu zaiflikdan foydalanib, u yanada chuqurroq va xavfli darajadagi imtiyozlarga ega bo‘lishi mumkin.

Xavf darajasi va mumkin bo‘lgan oqibatlar

Mazkur zaiflikni muvaffaqiyatli ekspluatatsiya qilgan hujumchi quyidagi imkoniyatlarga ega bo‘lishi ehtimoli mavjud:

  • debug (nosozliklarni tahlil qilish) huquqlarini qo‘lga kiritish;
  • operativ xotiradan (RAM) maxfiy ma’lumotlarni dump qilish;
  • xotirada vaqtincha saqlanayotgan parollar va autentifikatsiya ma’lumotlarini ajratib olish;
  • shifrlangan ma’lumotlarga bilvosita yo‘l ochish;
  • keyingi bosqichdagi hujumlar uchun qulay sharoit yaratish.

Shu sababli, mazkur zaiflik to‘g‘ridan-to‘g‘ri masofaviy ekspluatatsiya qilinmasa ham, ichki tarmoq yoki serverga kirib bo‘lgan hujumchi uchun juda xavfli vosita hisoblanadi.

Ekspluatatsiya ehtimoli va real holat

Microsoft mazkur zaiflikni “Less Likely” (kam ehtimolli) ekspluatatsiya darajasida baholagan. Bu shuni anglatadiki, hujumni amalga oshirish uchun:

  • yuqori darajadagi boshlang‘ich huquqlar,
  • tarmoq darajasida kirish,
  • aniq texnik sharoitlar

talab etiladi. Hozirgi kungacha ushbu zaiflikdan real hujumlarda foydalanilgani yoki ommaga oshkor qilingan ekspluatlar mavjudligi tasdiqlanmagan.

Biroq amaliyot shuni ko‘rsatadiki, bunday turdagi zaifliklar ko‘pincha murakkab hujum zanjirlarining muhim bo‘g‘iniga aylanadi.

Yangilanishlar va texnik tavsiyalar

Microsoft barcha ta’sirlangan SQL Server versiyalari uchun xavfsizlik yangilanishlarini GDR (General Distribution Release) va CU (Cumulative Update) kanallari orqali taqdim etdi.

Yangilanishlar bo‘yicha tavsiyalar:

  • SQL Server 2022 foydalanuvchilari:
    • CU22 (build 16.0.4230.2)
    • yoki RTM GDR (build 16.0.1165.1) ni o‘rnatishlari zarur.
  • SQL Server 2025 foydalanuvchilari:
    • Yanvar oyi GDR yangilanishi (build 17.0.1050.2) ni o‘rnatishlari shart.

Xulosa va xavfsizlik bo‘yicha tavsiyalar

Mazkur hodisa yana bir bor shuni ko‘rsatadiki, ichki tizimlarda mavjud bo‘lgan imtiyozlarni noto‘g‘ri boshqarish hatto eng ishonchli korporativ platformalarda ham jiddiy xavflarga olib kelishi mumkin.

Tashkilotlar uchun asosiy tavsiyalar:

  • SQL Server’larni zudlik bilan yangilash;
  • internetga ochiq yoki sezgir ma’lumotlar bilan ishlovchi serverlarga alohida e’tibor qaratish;
  • administrator va yuqori huquqli akkauntlar sonini minimallashtirish;
  • tarmoq arxitekturasini qayta ko‘rib chiqish va segmentatsiyani kuchaytirish;
  • yangilanishlar oralig‘ida monitoring va audit mexanizmlarini faollashtirish.

Kiberxavfsizlik — bu faqat tashqi tahdidlarga qarshi kurash emas, balki ichki imtiyozlar va nazorat mexanizmlarini to‘g‘ri boshqarish san’atidir. CVE-2026-20803 bunga yaqqol misoldir.