何が起きたか
ClickHouseのセキュリティ変更履歴は、2026年10月30日のv26.10.3.7でCVE-2026-116366を修正したと記した。一部の条件のもとで、ネットワークから到達できる未認証の利用者が、ClickHouse Server上で任意のコードを実行できる、という内容だ。発見者はElshad Toklayev氏とされる。
OSSの修正版は、v26.3.62.3-lts、v26.8.36.3-lts、v26.9.27.3-stable、v26.10.3.7-stableだ。ClickHouse CloudとBYOCのデプロイには、すでに修正が適用されている。
なぜ今重要か
分析用にネットワークへポートを開けたClickHouseは、アプリケーション側の認証より前、サーバー自身の待ち受けで被害が成立し得る。変更履歴は「一部の条件」とだけ書き、対象のインタフェースや、特定の設定が必要かは示していない。条件が公開されていないので、待ち受けを社内に限っているインスタンスも、載っている版が修正版より前なら更新する判断になる。
エンジニアが取ること
セルフホストの版番号を、上の4つの系列の修正版と突き合わせる。CloudとBYOCはベンダー側で適用済みなので、利用者が手を動かすのはOSSだ。この変更履歴が名指ししているのも、そのOSSの版と、CloudおよびBYOCである。社内で独自にパッケージした版は、同じ修正が入っているかをパッケージの提供元に確認する。