继 Azure Connect Feature Pack 之后，微软五月补丁日继续给 SQL Server 2016 SP3 本体推送安全更新。
这次是 SQL Server 2016 SP3 GDR 分支的安全修复，对应 KB5089271。
修了什么？
- CVE-2026-40370 — 远程代码执行漏洞（Remote Code Execution）
- KB5089271 — 累积性安全更新，包含所有历史安全修复
- 影响范围：SQL Server 2016 SP3（GDR 通用分发版本通道）
CVE-2026-40370 是什么？
这个漏洞横跨了 SQL Server 几乎所有活跃版本，属于远程代码执行级别。从之前各版本的安全更新公告来看，核心问题出在 SSIS（Integration Services）的 Web 服务任务组件中的 XML 外部实体（XXE）漏洞：
- 任意文件读取 — 攻击者可通过构造恶意 XML 读取服务器上的敏感文件
- 拒绝服务（DoS） — 可导致相关服务不可用
跟 Azure Connect Feature Pack 那个有什么区别？
上周已经发过一篇关于 SQL Server 2016 SP3 Azure Connect Feature Pack 的安全更新（KB5089270）。两者的关系：
| 对比项 | Azure Connect Feature Pack (KB5089270) | SP3 GDR 本体 (KB5089271) | |--------|---------------------------------------|------------------------| | 更新对象 | Azure Connect Feature Pack 附加组件 | SQL Server 2016 SP3 数据库引擎本体 | | 主要修复 | SSIS Web 服务任务 XXE 漏洞 | CVE-2026-40370 远程代码执行漏洞 | | 安装前提 | 需先安装 Feature Pack (KB5014242) | 需已安装 SQL Server 2016 SP3 | | 下载页 | familyid=07b113c3-1315-444e-b442-b0297f0cebe1 | 搜索 KB5089271 |
如果你两个组件都装了，两个更新都建议打上。
跟你有什么关系？
如果你还在用 SQL Server 2016 SP3 跑生产业务（国内不少金融、政务系统还在 2016 上），这个补丁建议尽快安排：
- 评估 SSIS Web 服务任务的使用情况——如果没用，风险较低，但仍建议更新
- 如果有对外暴露的 SSIS 包，优先级应该提到最高
- 记得在测试环境先验证，特别是与现有应用的兼容性
五月补丁日 SQL Server 全线更新汇总
| 版本 | 更新类型 | KB 编号 | 发布日期 | |------|---------|---------|---------| | SQL Server 2025 RTM | CU4 安全更新 | KB5084895 | 5月12日 | | SQL Server 2022 RTM | CU24 安全更新 | KB5089270 | 5月12日 | | SQL Server 2019 RTM | CU32 / GDR | KB5090407/5090408 | 5月12日 | | SQL Server 2017 RTM | CU31 安全更新 | KB5090354 | 5月12日 | | SQL Server 2016 SP3 | Feature Pack (KB5089270) + GDR (KB5089271) | 5月12日 | 5月12日 |
怎么装？
- Windows Update：开启自动更新会自动推送
- Microsoft Update Catalog：搜索 KB5089271
- Microsoft Download Center：直接下载安装包
总结
SQL Server 2016 虽然已进入扩展支持末期，但只要还在跑业务，安全补丁不能省。这次的 CVE-2026-40370 横跨五个大版本，微软一次性全部修复，建议有条件的团队尽快更新。
📎 原文链接：https://techcommunity.microsoft.com/t5/sql-server-blog/security-update-for-sql-server-2016-sp3/ba-p/4519143 📅 发布日期：2026-05-13
