ClickHouse 修補可導致未認證遠端程式碼執行的漏洞

CVE-2026-116366

主要來源公告：2026-10-30

本站刊登：2026-10-30 · 內容更新：2026-10-30（香港日期）

情報摘要

ClickHouse 公布 CVE-2026-116366：在特定條件下，具網絡存取能力的未認證攻擊者可能執行任意程式碼。四個版本分支已有修補；廠商稱 ClickHouse Cloud 及 BYOC 部署均已修補。

公告及 CNA 記錄均於 2026 年 10 月 30 日發布。CNA 列出的四個分支受影響範圍分別截至上述修補版本之前，並將未列明版本的預設狀態設為受影響。

ClickHouse；26.3、26.8、26.9、26.10 分支的修補前版本

自行管理 ClickHouse 的資料平台及系統管理員

自行部署者應按所用分支升級至 26.3.62.3-lts、26.8.36.3-lts、26.9.27.3-stable 或 26.10.3.7-stable，並核對官方後續公告。其他分支不可假設安全；限制資料庫網絡存取作為額外防護，不代替修補。

ClickHouse CNA 給予 CVSS 4.0 9.5 分（Critical）；評分包含高攻擊複雜度，並非所有可連線部署均已證實可遭利用。

廠商未在所核對公告詳述觸發條件；未有足夠證據確認已在野外利用或香港受害個案。

Cloud 及 BYOC 的修補狀態是廠商聲明，本報未逐一檢查租戶環境。