就在大家以为 SQL Server 2016 已经「功成身退」的时候，微软在五月补丁日（5 月 12 日）又给它推送了一波安全更新。
这次的主角是 SQL Server 2016 SP3 的 Azure Connect Feature Pack，修复了一个高危漏洞 👇
修了什么？
- CVE-2026-40370 — SSIS Web 服务任务中的 XML 外部实体（XXE）漏洞
- KB5089270 — 更新后版本号：13.0.7085.1
- 仅影响 Windows 平台上的 Integration Services（集成服务） 组件
这个漏洞有多严重？
属于「远程代码执行（RCE）」级别。攻击者如果成功利用这个 XXE 漏洞，可以：
- 读取服务器上的任意文件（配置文件、密钥等敏感信息）
- 发起拒绝服务（DoS）攻击，让 SSIS 服务瘫痪
不过别慌 —— 这个漏洞的利用前提是攻击者能够构造恶意的 XML 输入提交给 SSIS Web 服务任务。如果你的 SSIS 没有暴露在公网，或者没有用到 Web 服务任务，风险会低很多。
跟你有什么关系？
如果你还在用 SQL Server 2016，而且装了 Azure Connect Feature Pack（主要用于 Azure Blob Storage 备份、Azure Key Vault 集成等场景），这条更新最好尽快打上。
尤其是那些还在用 SQL Server 2016 跑生产业务的团队 —— 虽然 2016 已经进入扩展支持末期，但安全更新该装还是得装。
安装前提
必须先安装 SQL Server 2016 SP3 Azure Connect Feature Pack（KB5014242），才能应用这个安全更新。
⚠️ 一个小坑：如果你安装这个更新之后又装了语言包，需要重新安装这个更新。
五月补丁日全貌
有趣的是，CVE-2026-40370 这个 XXE 漏洞几乎影响了所有 SQL Server 版本：
| 版本 | 对应更新 | 发布时间 | |------|---------|---------| | SQL Server 2025 RTM | CU4 安全更新 | 5 月 12 日 | | SQL Server 2022 RTM | CU24 安全更新 | 5 月 12 日 | | SQL Server 2019 RTM | CU32 / GDR 安全更新 | 5 月 12 日 | | SQL Server 2017 RTM | CU31 安全更新 | 5 月 12 日 | | SQL Server 2016 SP3 | Azure Connect Feature Pack | 5 月 12 日 |
微软这次是一口气把所有主流版本都补了，可见这个漏洞的覆盖面之广。
怎么装？
三种方式任选：
- Windows Update：自动更新开启的话，系统会自动下载安装
- Microsoft Update Catalog：搜索 KB5089270 下载离线包
- Microsoft Download Center：直接下载 exe 安装包
总结
虽然 SQL Server 2016 年纪不小了，但只要你还在用，安全补丁该打还是得打。特别是这个 XXE 漏洞横跨五个大版本的「全家桶式修复」，说明它确实值得重视。
📎 原文链接：https://techcommunity.microsoft.com/t5/sql-server-blog/security-update-for-sql-server-2016-sp3-azure-connect-feature/ba-p/4519142 📅 发布日期：2026 年 5 月 13 日（北京时间）
