O SQL Server 2017 CU10 inclui o hotfix CVE-2018-8273?

Sim, a correção de segurança está na CU. Comentário direto, mas privado, de uma fonte confiável dentro da Microsoft:

As correções de segurança sempre se acumulam para qualquer CU subsequente. É assim há anos.

E de outro colega da Microsoft:

todas as versões de serviço de CU para uma determinada linha de base são 100% cumulativas de todas as atualizações de segurança anteriores, CUs e hotfixes sob demanda lançados até o momento para essa linha de base (RTM ou SP). Isso é exigido mecanicamente pelo fato de que usamos o mesmo repositório físico de origem da CU, não temos repositórios de lançamento específicos de correção e não removemos correções depois de lançadas.

Com pouquíssimas exceções históricas, as atualizações cumulativas sempre incluem as correções em compilações inferiores da mesma ramificação , segurança ou outra. Antes do SQL Server 2017, isso poderia ser diferente devido à forma como os service packs eram versionados (por exemplo, o service pack 2 RTM tem um número de compilação mais alto que o sp1 cu28, embora o último seja 6 meses mais recente). Mas isso é apenas uma coisa cosmética - ainda vale para o branch , mas nem sempre vale se você estiver ignorando o nível do service pack e apenas comparando @@VERSIONnúmeros.

A Microsoft documentou explicitamente em algum lugar que a correção de segurança está incluída no CU10? Eu gostaria de poder provar à gerência que a correção está lá.

Pedi várias vezes mais transparência sobre quais correções estão incluídas (ou não incluídas) em uma CU específica, especialmente quando algo assim acontece - um hotfix de segurança com seu próprio conjunto de problemas foi lançado entre CUs. Eles receberam o feedback e espero ver alguma documentação oficial pelo menos nas postagens do blog da equipe de serviços de lançamento anunciando cada novo lançamento.

Tudo o que posso dizer é que não é uma máquina de movimento rápido por lá, e tanto os processos automatizados quanto os advogados às vezes podem atrapalhar o que pode ser divulgado em conteúdo gerado automaticamente, como artigos da CU KB. Por enquanto você vai ter que aceitar a minha (e a deles) palavra.