02.11.2026 — CVE-2026-116366 — удаленное выполнение кода на сервере ClickHouse® без аутентификации {#CVE-2026-116366}

02.11.2026 — CVE-2026-116366 — удаленное выполнение кода на сервере ClickHouse® без аутентификации {#CVE-2026-116366}

Идентификатор CVE (CVE ID): CVE-2026-116366.

Ссылка на CVE: <https://www.cve.org/CVERecord?id=CVE-2026-116366>.

Ссылка на NVD: <https://nvd.nist.gov/vuln/detail/CVE-2026-116366>.

Исходный отчет {#original-report-CVE-2026-116366}

• Security Changelog ClickHouse.
• Политика безопасности и список поддерживаемых версий ClickHouse.

Краткое описание {#brief-description-CVE-2026-116366}

В сервере ClickHouse® обнаружена ошибка целочисленного переполнения (CWE-190). При определенных условиях злоумышленник, имеющий сетевой доступ к серверу, может выполнить на нем произвольный код без аутентификации.

ClickHouse, Inc. не раскрывает уязвимый компонент, протокол и условия эксплуатации; по оценке вендора, эксплуатация сложна (AC:H).

Затронутые технологии {#technologies-affected-CVE-2026-116366}

Сервер ClickHouse® в любой форме развертывания, в том числе Yandex Managed Service for ClickHouse®.

Уязвимые продукты и версии {#vulnerable-products-and-versions-CVE-2026-116366}

#| || Ветка ClickHouse® | Уязвимые версии | Исправление || || 26.10 (stable) | ниже 26.10.3.7 | 26.10.3.7 || || 26.9 (stable) | ниже 26.9.27.3 | 26.9.27.3 || || 26.8 (lts) | ниже 26.8.36.3 | 26.8.36.3 || || 26.3 (lts) | ниже 26.3.62.3 | 26.3.62.3 || |#

Ветки 26.4–26.7, 26.1–26.2, 25.x и более ранние не поддерживаются ClickHouse, Inc. и исправлений не получают. Серверы на этих версиях следует считать уязвимыми и перевести на одну из поддерживаемых веток.

Разработчик {#vendor-CVE-2026-116366}

ClickHouse, Inc.

Вектор атаки и уровень опасности согласно CVSS v.4.0 {#attack-vector-and-severity-level-CVE-2026-116366}

Базовая оценка: 9,5 CRITICAL.

Вектор: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H.

Оценка присвоена CNA (ClickHouse), оценки CVSS v.3.1 нет.

Рекомендации по обнаружению уязвимости и дополнительные материалы {#recommendations-for-vulnerability-detection-CVE-2026-116366}

Проверьте версию сервера {#check-version-CVE-2026-116366}

Сравните версию сервера с таблицей выше. На работающем сервере версию также показывает запрос SELECT version();.

<code>clickhouse-server --version                            # на хосте
docker exec <контейнер> clickhouse-server --version    # в контейнере: версия в образе, а не тег</code>

Версия ниже исправленной в своей ветке или версия из неподдерживаемой ветки означает, что сервер уязвим. Для сборок сторонних поставщиков и собственных сборок из исходного кода номер версии не подтверждает наличие исправления: сверяйтесь с бюллетенем поставщика или перенесите исправление из поддерживаемой ветки.

Проверьте сетевую доступность сервера {#check-network-exposure-CVE-2026-116366}

Проверьте, какие порты слушает сервер и с каких адресов они доступны:

<code>ss -ltnp | grep clickhouse
grep -rE '<(listen_host|http_port|tcp_port|https_port|tcp_port_secure|mysql_port|postgresql_port|grpc_port|interserver_http_port)>' /etc/clickhouse-server/</code>

Серверы, порты которых доступны из интернета или из недоверенных сетей, обновляйте в первую очередь.

Признаки попыток эксплуатации {#exploitation-indicators-CVE-2026-116366}

• Аварийные завершения clickhouse-server (SIGSEGV, SIGABRT) и записи о них в /var/log/clickhouse-server/clickhouse-server.err.log.
• Запуск дочерних процессов от имени пользователя clickhouse, не характерных для штатной работы сервера.

Безопасная версия уязвимого продукта или патч {#safe-version-CVE-2026-116366}

Как можно скорее обновите сервер ClickHouse® до исправленной версии своей ветки из раздела Уязвимые продукты и версии и перезапустите его.

Если обновление невозможно немедленно, ограничьте сетевой доступ к серверу ClickHouse®: укажите в listen_host только нужные адреса, закройте неиспользуемые порты протоколов (MySQL, PostgreSQL, gRPC) и разрешите подключения только из доверенных сетей средствами межсетевого экрана или групп безопасности Yandex Virtual Private Cloud. Эти меры сужают поверхность атаки, но не устраняют уязвимость.

Влияние на сервисы Yandex Cloud {#impact-on-yandex-cloud-services-CVE-2026-116366}

Кластеры Yandex Managed Service for ClickHouse® будут автоматически обновлены до версий с устраненной уязвимостью в ближайшее окно обслуживания, действий со стороны пользователя не требуется. До обновления рекомендуем ограничить доступ к хостам кластера: отключить публичный доступ, если он не используется, и разрешить подключения только из доверенных сетей в группах безопасности.

Продукты Yandex Cloud Marketplace Langfuse и GMonit Lite включают уязвимую версию ClickHouse®. Разработчики продуктов уведомлены и готовят обновления. До их выхода пользователям, развернувшим эти продукты, рекомендуем ограничить сетевой доступ к ClickHouse® в их составе доверенными сетями.

Серверы ClickHouse®, самостоятельно развернутые на виртуальных машинах, в контейнерах и в Yandex Managed Service for Kubernetes, автоматически не обновляются и требуют проверки со стороны владельцев по разделу Рекомендации по обнаружению уязвимости.