一句话总结
微软发布了 SQL Server 2017 RTM 的安全更新 KB5090347，修复了一个 SSIS Web 服务任务中的 XXE（XML 外部实体注入）漏洞（CVE-2026-40370）。攻击者可利用此漏洞读取服务器上的任意文件或发起拒绝服务攻击。如果你还在跑 SQL Server 2017 RTM 并且用了 SSIS Web 服务任务，建议尽快安装。
漏洞详情：CVE-2026-40370
漏洞类型
XXE（XML External Entity）注入漏洞，存在于 SQL Server Integration Services（SSIS）的 Web 服务任务组件中。
影响范围
| 项目 | 详情 | |------|------| | 受影响产品 | SQL Server 2017 RTM（GDR 分支） | | 受影响组件 | SSIS Web 服务任务 | | 受影响平台 | Windows | | 漏洞编号 | CVE-2026-40370 | | 修复 KB | KB5090347 | | 更新后版本 | 14.0.2110.2 |
攻击方式
SSIS 的 Web 服务任务使用 XML 解析器处理 Web 服务请求和响应。由于未正确禁用外部实体解析，攻击者可以构造恶意 XML 输入，实现：
- 任意文件读取 — 读取 SQL Server 服务器本地文件系统中的敏感文件（如配置文件、密钥文件等）
- 拒绝服务（DoS） — 通过恶意 XML 导致 SSIS 运行时崩溃或资源耗尽
⚠️ 注意：虽然 CVE 描述中标注为「拒绝服务」，但实际危害包括任意文件读取，风险等级比单纯的 DoS 更高。
国内用户为什么要关注？
1. SQL Server 2017 仍有大量存量
国内很多企业的核心业务系统仍然跑在 SQL Server 2017 上——尤其是制造业、金融、政务领域。从 2017 升级到 2019/2022 是个大工程，涉及兼容性测试、应用改造、停机窗口安排，很多企业还在规划阶段。
2. SSIS 是国内 ETL 的主力工具
在国内企业数据集成场景中，SSIS 的使用率非常高。特别是那些有大量异构数据源（Oracle、MySQL、Excel、API）需要整合到 SQL Server 的企业，SSIS Web 服务任务是调用外部 Web Service 的标准组件。
3. 任意文件读取 = 数据泄露风险
如果攻击者能读取服务器上的文件，意味着：
- 数据库连接字符串可能泄露
- 应用配置文件中的敏感信息可能暴露
- 其他业务系统的凭证可能被窃取
对于等保合规要求较高的行业（金融、政务、医疗），这类漏洞必须及时修补。
修复内容
- Bug 参考号：5131020
- 修复内容：禁用 SSIS Web 服务任务 XML 解析器中的外部实体处理，防止 XXE 注入
- 已知问题：本次更新未列出已知问题
安装指南
前置条件
- 必须已安装 SQL Server 2017 RTM，或通过 SQL Server 2017 GDR 通道发布的任何累积更新版本
安装方式
| 方式 | 说明 | |------|------| | Windows Update | 开启自动更新后自动安装（推荐） | | 手动下载 | Microsoft 下载中心 | | 更新目录 | 搜索 KB5090347 |
文件校验
SHA256: 1668AE4F2EA0E62B431C923A150C1EDC80CA412F05CE3E06AD5A01D3C6381FAA
安装注意事项
- 语言包：如果先装了安全更新再装语言包，需要重新安装安全更新
- Reporting Services：即使未安装 SSRS，也可以安装此更新
- 重启要求：安装后可能需要重启 SQL Server 服务
同系列漏洞回顾
CVE-2026-40370 是近期 SQL Server 安全更新中反复出现的 XXE 漏洞模式。此前以下版本也修复了同一类漏洞：
| 版本 | KB 编号 | |------|--------| | SQL Server 2019 RTM GDR | KB5090408 | | SQL Server 2019 RTM CU32 | KB5090407 | | SQL Server 2017 RTM CU31 | KB5090354 | | SQL Server 2022 RTM | KB5090408 | | SQL Server 2022 RTM CU24 | KB5090349 | | SQL Server 2025 RTM CU4 | KB5090345 | | SQL Server 2017 RTM | KB5090347（本次） |
💡 结论：只要你的 SSIS 包中包含 Web 服务任务，无论 SQL Server 版本，都应该检查是否已安装对应的安全更新。
建议
- ✅ 如果你用 SQL Server 2017 RTM + SSIS Web 服务任务：立即安装 KB5090347
- ⚡ 如果你在规划升级：这个漏洞是又一个推动升级的理由，SQL Server 2022/2025 有更完善的安全机制
- 📋 如果你做等保合规：建议将此 CVE 纳入漏洞修复记录，尤其是涉及 SSIS 的系统
📝 原文链接：https://techcommunity.microsoft.com/t5/sql-server-blog/security-update-for-sql-server-2017-rtm/ba-p/4519141 📅 发布日期：2026-05-13
