微软于 5 月 20 日发布了 SQL Server 2025 第五个累积更新（CU5，KB5084896），版本号升至 17.0.4045.5，这是 SQL Server 2025 正式发布后的第五个补丁包，包含 5 项缺陷修复和 1 项已知问题值得关注。
📌 KB 编号：KB5084896 📌 版本号：17.0.4045.5（数据库引擎）/ 17.0.25.223（Analysis Services） 📌 发布日期：2026-05-20
🔐 重点修复：安全漏洞不能等
1. Integration Services XXE 漏洞（严重）
修复了 Web Service Task 中的 XML 外部实体（XXE）漏洞，WSDL 服务端点禁止了 file:// 协议访问，防止未授权文件读取和 DoS 攻击。国内跑 ETL 数据抽取的企业注意了：如果你们的 SSIS 包有调用外部 WSDL 接口，优先打这个补丁。
2. SQL 注入漏洞（严重）
sp_help_spatial_geography_index 和 sp_help_spatial_geography_index 两个存储过程存在 SQL 注入风险，已直接修复。跑空间数据（GEOGRAPHY/GEOMETRY 类型）的业务系统特别注意，尤其是对外提供查询接口的。
3. In-Memory OLTP 内存垃圾回收 CPU 卡顿
这个问题会导致内存数据库在高并发写入时 CPU 打满，增加定期 GC yield 解决。国内用内存数据库做高性能缓存或实时计算场景的用户，这次更新有明显收益。
🔧 其他修复
| Bug ID | 问题描述 | |--------|---------| | 5090650 | SQL Server 2025 在老版本 Windows 上安装时，报 EntryPointNotFoundException 错误 | | 5190195 | 全文索引对 .docx 文件中链接开头的段落索引结果错误 | | 5198210 | Linux 版 SQL Server 现在支持通过 mssql.conf 配置变更流参数 |
⚠️ 已知问题：parallel plan + SESSION_CONTEXT 要小心
这个问题值得单独提醒。
如果你的查询中使用了 SESSION_CONTEXT() 函数，且执行计划涉及并行查询（parallel plan），可能出现结果错误或触发 AV 崩溃转储。这是因为 SESSION_CONTEXT 在并行线程复用时存在竞态条件。
国内用户最常遇到这个问题的场景
- ASP.NET 应用通过
SqlClient设置SESSION_CONTEXT传递用户上下文 - BI 报表工具在查询中动态注入 session 级变量
临时缓解方案
在查询中加 OPTION (MAXDOP 1) 强制单线程，治标不治本，根本解决还是要等后续补丁。
📥 国内用户如何获取
- Windows 版下载（推荐）：https://www.microsoft.com/download/details.aspx?id=108540
- Microsoft Update Catalog：https://catalog.update.microsoft.com/Search.aspx?q=KB5084896
- Linux 版：参考 SQL Server 2025 Release Notes，配置 CU 仓库后执行平台对应更新命令
SHA256 校验
certutil -hashfile SQLServer2025-KB5084896-x64.exe SHA256
# 正确哈希：1CD6A4CCBCEABFAE58377079ADD3BE96EBD1051B095FD1C02A9C270BC9A718DA
💡 国内部署建议
- 生产环境建议打：Windows Server 环境可直接在 WSUS 或 Update Catalog 推送
- Linux 环境注意：先确认 mssql-server 包仓库配置正确，更新后验证连接
- Always On 集群：按官方文档滚动升级，不要直接全量更新
- 安装前必做：备份 master 数据库，在测试环境验证
📅 发布日期：2026-05-20 🔗 原文链接：https://techcommunity.microsoft.com/t5/sql-server-blog/cumulative-update-5-for-sql-server-2025-rtm/ba-p/4521671
