Ganz frisch erschienen und im SQL Server Release Services Blog veröffentlicht wurden ein CU für SQL Server 2016 SP1 und eins für SP2.

Zu finden sind diese Informationen auch auf der Build-Page zum SQL Server 2016.
KB-Artikel zum CU #10 für SP1
KB-Artikel zum CU #2 für SP2

Zum Schluss noch einmal die dringende Warnung spätestens diese Patche auf jeden Fall einzuspielen. Auch wenn es zuerst so aussah, als ob virtuelle Maschinen eher auf der sicheren Seite wären, ist nun doch festzustellen, dass gerade diese Maschinen gefährdet sind. Andere virtuelle Maschinen auf demselben Host können Zugriff auf die Daten (und das sind nicht nur die Passwörter) einer anderen virtuellen Maschine erlangen. Daher müssen alle virtuellen Maschinen gepatched werden (nicht nur die mit SQL Server) und auf jeden Fall auch der Host. Aktuell noch offen sind die Firmware-Updates der Hersteller, die wohl ursächlich für diese Problematik sind!