--- title: "ClickHouse Server に認証なしのコード実行の欠陥（CVE-2026-116366、CVSS 9.5）" url: https://n-t-p.io/worldsecurity/articles/clickhouse-server-unauth-rce-2026-116366 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年10月30日 updated: 2026年10月30日 severity: 緊急 cve: CVE-2026-116366 --- # ClickHouse Server に認証なしのコード実行の欠陥（CVE-2026-116366、CVSS 9.5） > **TL;DR:** NVD は 2026-10-30、ClickHouse Server で条件によっては認証なしで任意のコードを実行できる欠陥 CVE-2026-116366（CVSS v4.0 9.5）を公開した。26.3・26.8・26.9・26.10 系の指定版より前が対象。 **要点** - 特定の条件で、ネットワークに届く認証なしの相手が任意のコードを実行できるおそれ（CWE-190） - 対象は 26.3.62.3-lts・26.8.36.3-lts・26.9.27.3-stable・26.10.3.7-stable より前。該当系列は更新 - KEV 掲載なし・EPSS は未算出。ポートの公開範囲も確認 - NVD は解析前（Received）で、ベンダー勧告は未確認 NVD は 2026-10-30、ClickHouse Server の脆弱性 CVE-2026-116366 を公開しました。特定の条件のもとで、ネットワークに届く認証なしの相手が、サーバー上で任意のコードを実行できるおそれがあります。CVSS v4.0 は 9.5（CRITICAL）です。公開直後で、悪用の確認（KEV 掲載）はありません。 ## 何が問題か NVD の説明では、ClickHouse Server に問題が見つかり、特定の条件が重なると、ネットワーク経由でアクセスできる認証なしの利用者が任意のコードを実行できるとされています。弱点の種類は CWE-190（整数オーバーフロー）です。「特定の条件」の中身は NVD の説明に書かれておらず、本稿では確認できていません。 ## 数値で見る | 項目 | 値 | |---|---| | CVE | CVE-2026-116366 | | NVD 公開日 | 2026-10-30 | | CVSS v4.0 | 9.5（CRITICAL。NVD 掲載の Secondary の値） | | 攻撃条件 | ネットワーク経由・攻撃の複雑さは高・権限不要・利用者の操作不要 | | 影響 | サーバー本体と後続システムの機密性・完全性・可用性がいずれも高 | | CWE | CWE-190（整数オーバーフロー） | | KEV | 掲載なし（CISA カタログで確認、2026-10-30） | | EPSS | 公開直後のため未算出 | CVSS は深刻さの目安（10.0 が最大）です。攻撃の複雑さが「高」のため満点ではありませんが、認証が要らず、成功した場合の影響が大きい点に注意が必要です。NVD の状態は「Received」（NVD による解析前）で、今後値が変わる可能性があります。 ## 対象と修正版 NVD に載る提供元（CNA）の版情報では、次の版より前が影響を受けます。 | 系列 | 影響を受ける版 | |---|---| | 26.3 | 26.3.62.3-lts より前 | | 26.8 | 26.8.36.3-lts より前 | | 26.9 | 26.9.27.3-stable より前 | | 26.10 | 26.10.3.7-stable より前 | 上の表にない系列（古い版など）の扱いは、NVD の記載からは分かりません。ClickHouse の Security Changelog（確認日 2026-10-30）にはこの CVE がまだ載っておらず、ベンダー側の勧告は確認できていません。 ## 対応の考え方 - 使っている ClickHouse の版を確認し、該当する系列なら上の版以降へ更新してください。 - 認証なし・ネットワーク経由の欠陥です。ClickHouse のポート（HTTP 8123、ネイティブ 9000 など）をインターネットや信頼できないネットワークに出していないか確認し、出ている場合はファイアウォールで絞ってください。 - 回避策は NVD に載っていません。ベンダーの勧告が出たら、版と条件を照合し直してください。 ## 出典 - [NVD CVE-2026-116366](https://nvd.nist.gov/vuln/detail/CVE-2026-116366) — NIST NVD - [ClickHouse Security Changelog（この CVE は未掲載）](https://clickhouse.com/docs/resources/changelogs/security-changelog) — ClickHouse - [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA - [FIRST EPSS API（未算出）](https://api.first.org/data/v1/epss?cve=CVE-2026-116366) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/clickhouse-server-unauth-rce-2026-116366