検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

ClickHouse Server に認証なしのコード実行の欠陥（CVE-2026-116366、CVSS 9.5）

World Security 編集部
目次（4）

CVE-2026-116366

NVD は 2026-10-30、ClickHouse Server の脆弱性 CVE-2026-116366 を公開しました。特定の条件のもとで、ネットワークに届く認証なしの相手が、サーバー上で任意のコードを実行できるおそれがあります。CVSS v4.0 は 9.5（CRITICAL）です。公開直後で、悪用の確認（KEV 掲載）はありません。

何が問題か

NVD の説明では、ClickHouse Server に問題が見つかり、特定の条件が重なると、ネットワーク経由でアクセスできる認証なしの利用者が任意のコードを実行できるとされています。弱点の種類は CWE-190（整数オーバーフロー）です。「特定の条件」の中身は NVD の説明に書かれておらず、本稿では確認できていません。

数値で見る

項目値
CVECVE-2026-116366
NVD 公開日2026-10-30
CVSS v4.09.5（CRITICAL。NVD 掲載の Secondary の値）
攻撃条件ネットワーク経由・攻撃の複雑さは高・権限不要・利用者の操作不要
影響サーバー本体と後続システムの機密性・完全性・可用性がいずれも高
CWECWE-190（整数オーバーフロー）
KEV掲載なし（CISA カタログで確認、2026-10-30）
EPSS公開直後のため未算出

CVSS は深刻さの目安（10.0 が最大）です。攻撃の複雑さが「高」のため満点ではありませんが、認証が要らず、成功した場合の影響が大きい点に注意が必要です。NVD の状態は「Received」（NVD による解析前）で、今後値が変わる可能性があります。

対象と修正版

NVD に載る提供元（CNA）の版情報では、次の版より前が影響を受けます。

系列影響を受ける版
26.326.3.62.3-lts より前
26.826.8.36.3-lts より前
26.926.9.27.3-stable より前
26.1026.10.3.7-stable より前

上の表にない系列（古い版など）の扱いは、NVD の記載からは分かりません。ClickHouse の Security Changelog（確認日 2026-10-30）にはこの CVE がまだ載っておらず、ベンダー側の勧告は確認できていません。

対応の考え方

  • 使っている ClickHouse の版を確認し、該当する系列なら上の版以降へ更新してください。
  • 認証なし・ネットワーク経由の欠陥です。ClickHouse のポート（HTTP 8123、ネイティブ 9000 など）をインターネットや信頼できないネットワークに出していないか確認し、出ている場合はファイアウォールで絞ってください。
  • 回避策は NVD に載っていません。ベンダーの勧告が出たら、版と条件を照合し直してください。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事