CVE-2019-1068 : SQL Server RCE exploité activement CISA KEV

Les faits

Le 26 août 2026, la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté CVE-2019-1068 à son catalogue KEV (Known Exploited Vulnerabilities), avec un délai de remédiation fixé au 29 août 2026 pour les agences fédérales américaines relevant du programme FCEB (Federal Civilian Executive Branch). Cette décision fait suite à la confirmation d'exploitations actives de cette vulnérabilité — un constat alarmant pour une faille corrigée il y a plus de sept ans.

CVE-2019-1068 est une vulnérabilité d'exécution de code à distance (RCE) affectant le moteur de base de données Microsoft SQL Server. Le score CVSS v3.1 est de 8.8 (High), avec un vecteur AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Contrairement à certaines vulnérabilités nécessitant un accès non authentifié, CVE-2019-1068 requiert que l'attaquant soit authentifié avec des privilèges standards sur l'instance SQL Server — une condition qui reste souvent facilement remplie via des identifiants par défaut, des comptes de service mal sécurisés, ou des bases SQL accessibles depuis le réseau avec des credentials faibles.

La faille permet à un attaquant authentifié d'exécuter du code arbitraire dans le contexte du compte de service SQL Server. Sur de nombreuses installations, ce compte de service tourne sous des privilèges élevés (Local System, Network Service ou un compte de domaine avec des droits étendus), ce qui signifie qu'une exploitation réussie peut rapidement déboucher sur une compromission totale du serveur hôte, voire du domaine Active Directory si le compte de service SQL dispose de droits d'administration sur d'autres ressources réseau.

Microsoft avait initialement publié un correctif en juillet 2019 dans le cadre de son Patch Tuesday mensuel. La vulnérabilité avait à l'époque reçu une attention relative, éclipsée par d'autres failles plus médiatisées de la même période. C'est précisément ce type de vulnérabilité — corrigée depuis longtemps mais jamais appliquée sur de nombreuses instances — qui alimente la stratégie des attaquants modernes : plutôt que d'investir dans le développement d'exploits 0-day coûteux, ils capitalisent sur l'énorme inventaire de systèmes non patchés pour des vulnérabilités anciennes bien documentées.

La décision de la CISA d'ajouter CVE-2019-1068 au catalogue KEV en août 2026 révèle un constat préoccupant : sept ans après la publication du correctif, des instances Microsoft SQL Server non patchées restent accessibles et exploitables dans des environnements réels — y compris potentiellement dans des infrastructures critiques américaines. Le délai de remédiation imposé de 72 heures illustre le niveau d'urgence évalué par la CISA, qui classe ce délai au même niveau d'urgence que CVE-2026-8452 (Citrix NetScaler), la faille la plus récente et la plus active ajoutée simultanément au catalogue.

Les contextes d'exploitation actuelle de CVE-2019-1068 varient selon les rapports de threat intelligence disponibles : on observe des campagnes ciblant des instances SQL Server exposées sur Internet (parfois sur des ports non standards pour éviter le scanning basique), des mouvements latéraux post-compromission initiale utilisant SQL Server comme plateforme de rebond, et des attaquants compromettant SQL Server pour déployer des ransomwares ou des cryptomineurs. La CISA n'a pas associé de campagne ransomware spécifique à cette CVE dans son catalogue (statut « Unknown »), ce qui suggère des utilisations variées selon les groupes d'attaquants impliqués.

Du point de vue technique, l'exploitation de CVE-2019-1068 s'effectue via des requêtes SQL spécialement forgées vers le moteur de base de données. Les attaquants disposent de multiples vecteurs d'accès préalable : injection SQL sur une application web connectée à SQL Server, credentials volés via phishing ou credential stuffing, accès direct au port 1433/TCP depuis un segment réseau non filtré, ou encore exploitation d'un autre système du réseau interne ayant accès à la base de données.

La persistance de cette vulnérabilité dans des environnements de production en 2026 illustre l'un des défis majeurs de la cybersécurité moderne : la dette technique en matière de patch management. Les entreprises accumulent souvent des arriérés de mises à jour sur des bases de données critiques, par crainte d'interruption de service, par manque de procédures de patch management formalisées, ou simplement par oubli sur des serveurs « qui fonctionnent ». Cette négligence transforme des serveurs SQL en cibles privilégiées pour des attaquants qui maintiennent des catalogues précis de vulnérabilités exploitables sur des systèmes anciens.

Il est important de noter que CVE-2019-1068 s'inscrit dans un contexte plus large d'exploitation opportuniste de vulnérabilités SQL Server historiques. En ajoutant cette CVE au KEV simultanément à cinq autres vulnérabilités (dont des failles Linux datant de 2015 et Ajax.NET de 2021), la CISA envoie un signal fort : les attaquants ne discriminent pas par ancienneté de la faille — ils exploitent ce qui fonctionne, quelle que soit la date du CVE.

Impact et exposition

Les instances Microsoft SQL Server non patchées depuis juillet 2019 sont vulnérables à CVE-2019-1068. L'exposition est particulièrement élevée pour les serveurs SQL directement accessibles depuis Internet sur le port TCP 1433, ou depuis des zones DMZ insuffisamment segmentées, ainsi que pour les instances hébergées dans des environnements cloud mal configurés. D'après les données de scan Shodan et Censys, des dizaines de milliers d'instances SQL Server restent exposées directement sur Internet en 2026.

L'impact potentiel d'une exploitation réussie dépend fortement du niveau de privilèges du compte de service SQL Server. Si le service tourne sous SYSTEM ou un compte de domaine privilégié, l'attaquant peut rapidement pivoter vers d'autres ressources du réseau. Les bases de données SQL Server hébergent typiquement des données métier critiques — données clients, informations financières, dossiers médicaux — dont l'exfiltration peut entraîner des obligations de notification RGPD et des sanctions significatives.

La CISA recommande également aux organisations de conduire une analyse forensique sur les instances SQL Server exposées pour détecter toute compromission antérieure à la remédiation. Des indicateurs de compromission typiques incluent des processus SQL Server lançant des commandes shell inattendues via xp_cmdshell, des connexions SQL depuis des adresses IP inhabituelles, des modifications de comptes de login SQL Server et des anomalies dans les logs d'audit SQL.

Recommandations immédiates

• Appliquer immédiatement les correctifs Microsoft pour CVE-2019-1068 : KB4505218 (SQL Server 2016), KB4505422 (SQL Server 2017) — disponibles via Microsoft Update Catalog ou WSUS
• Inventorier toutes les instances SQL Server et vérifier leur niveau de patch via la requête SELECT @@VERSION comparée aux versions minimales corrigées du bulletin Microsoft de juillet 2019
• Désactiver xp_cmdshell sur toutes les instances où cette procédure stockée n'est pas strictement nécessaire : EXEC sp_configure 'xp_cmdshell', 0; RECONFIGURE;
• Restreindre l'accès réseau au port TCP 1433 via des règles pare-feu strictes : seuls les serveurs d'application légitimes doivent pouvoir se connecter à SQL Server
• Auditer les comptes de connexion SQL Server : supprimer ou désactiver les comptes sa et comptes par défaut actifs, activer l'authentification Windows uniquement si possible
• Activer l'audit SQL Server et configurer des alertes sur les connexions échouées, l'activation de xp_cmdshell et les requêtes vers les tables système inhabituelles