ClickHouseに認証不要のコード実行脆弱性、修正版あり
ClickHouse Serverに、ネットワークから認証なしで任意のコードを実行されるおそれのある脆弱性が見つかり、4系統すべてに修正版が出ました。到達できるサーバーを洗い出して版を確認し、更新してください。
急ぎ度: 早めに
CVSS v4は9.5で認証も利用者の操作も要らない一方、悪用の難易度は高めと評価されており、修正版が公開済みなので、公開直後のいまのうちに更新できます。
関係があるか
ClickHouse Serverを自社で動かしている組織が対象です。ログ分析や業務データの集計基盤として、社内ネットワークやクラウド上でポートを開けている環境は特に優先して見てください。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| ClickHouse Server(26.3系) | 26.3以上、26.3.62.3-lts未満 | 26.3.62.3-lts |
| ClickHouse Server(26.8系) | 26.8以上、26.8.36.3-lts未満 | 26.8.36.3-lts |
| ClickHouse Server(26.9系) | 26.9以上、26.9.27.3-stable未満 | 26.9.27.3-stable |
| ClickHouse Server(26.10系) | 26.10以上、26.10.3.7-stable未満 | 26.10.3.7-stable |
| ClickHouse Cloud | 25.12以上25.12.1.1713未満、26.2以上26.2.1.835未満、26.4以上26.4.1.2704未満、26.6以上26.6.1.2439未満、26.8以上26.8.1.597未満 | 25.12.1.1713、26.2.1.835、26.4.1.2704、26.6.1.2439、26.8.1.597、26.10.2.84 |
確かめ方
- 1社内で稼働しているClickHouseを洗い出します。サーバー、コンテナー、検証環境も含め、構成管理表やコンテナーイメージの一覧から探します。
- 2各サーバーで版を確認し、上の表の系統と修正版の番号に照らします。
- 3自社の版が表の系統に当たらないときは、ベンダーの告知（セキュリティ更新履歴）で影響範囲を確認してください。
- 4ClickHouse Cloudを使っている場合は、利用中のサービスの版を管理画面で確認し、ベンダーの告知と突き合わせます。
何が起きたか
ClickHouse Serverに、ネットワーク経由で到達できる認証前の相手が、サーバー上で任意のコードを実行できてしまう可能性のある脆弱性が見つかりました。2026年10月30日に公表され、各系統に修正版が出ています。
分類は整数オーバーフロー（CWE-190）です。整数の計算が想定の範囲を超えると、その結果を使う後続の処理が想定外の動きをします。この脆弱性では、それが任意のコード実行につながり得るとされています。
発動には「特定の条件下で」という前提が付いています。具体的な条件は、現時点の説明文には書かれていません。
攻撃の流れ
-
1
ネットワーク到達
ClickHouse Serverに通信で届く位置にいる相手が、ログインなしで接続します。
-
2
特定条件の成立
脆弱性が働く特定の条件が整います。
-
3
整数計算の異常
サーバー内部の整数計算が想定の範囲を超えます。
-
4
コード実行
サーバー上で相手のコードが動きます。
どう悪用されるか
悪用に認証は要りません。ネットワーク経由でサーバーに届けば足り、利用者の操作も要らないため、ClickHouseのポートが外部や広い社内ネットワークに開いている環境ほど危険です。ただし、CVSS v4の評価では攻撃条件の複雑さが高とされ、いつでも誰でも成功する種類のものではありません。
成功した場合、サーバー上で任意のコードが動きます。保存データの閲覧、書き換え、消去、サービス停止のいずれもあり得ます。評価では、同じネットワークにある別のシステムへの影響も高とされています。ClickHouseに接続情報や他システムへの認証情報が置かれていれば、被害がそこから広がる可能性があります。
今すぐやること
-
1
ClickHouseの稼働箇所を洗い出す
本番だけでなく、検証用、開発用、コンテナーで動かしているものも一覧にします。インターネットや広い社内セグメントから届くものを先に見ます。
-
2
版を確認する
各サーバーで版を取得し、影響を受ける系統と修正版の番号に照らします。
clickhouse-client --query "SELECT version()" -
3
同じ系統の修正版に更新する
26.3系は26.3.62.3-lts、26.8系は26.8.36.3-lts、26.9系は26.9.27.3-stable、26.10系は26.10.3.7-stableに更新します。系統をまたぐ更新は動作確認の負担が増えるので、まず同じ系統の修正版が妥当です。クラスターは1台ずつ順に更新します。
-
4
ClickHouse Cloudの利用者はベンダーの告知を見る
利用中のサービスの版が修正版に当たるかを、ClickHouseのセキュリティ更新履歴で確認します。自分で必要な作業があるかも、その告知で確認してください。
-
5
更新後に異常の跡を調べる
公表直後なので、遡って調べる範囲は短くて済みます。サーバーの再起動、見覚えのないプロセス、外部への不審な通信、想定外のクエリや設定変更がログにないかを見ます。
すぐ更新できないとき
すぐに更新できないときは、ClickHouseのポート（HTTPやネイティブプロトコルの待ち受け）へ届く範囲を、ファイアウォールやセキュリティグループで必要なアプリケーションサーバーと管理端末だけに絞ります。インターネットに直接公開している場合は、先に閉じてください。個別の回避策がほかにあるかは、ベンダーの告知で確認します。
背景
ClickHouseは列指向の分析用データベースで、アクセスログ、アプリケーションのイベント、計測値など大量のデータを集めて高速に集計する用途に使われます。業務システムの裏側にある分析基盤として置かれることが多く、画面や業務アプリから接続され、他のシステムへの接続情報を持つこともあります。侵入されたときの影響は、データベース1台にとどまりません。
分類の整数オーバーフローは、メモリーを直接扱うネイティブコードで、確保する量や位置の計算がずれることから、メモリーの破壊を経て任意のコード実行に結びつく場合がある種類です。ClickHouseはC++で書かれた製品です。ただし、この脆弱性がどの機能のどの処理にあるかは、現時点の説明からは分かりません。
よくある質問
Q.26.4〜26.7系を使っています。影響はありますか。
Q.ClickHouse Cloudを使っています。自分で更新する必要はありますか。
まだ分かっていないこと
- 発動に必要な「特定の条件」の中身は、現時点の説明には書かれていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| ClickHouse | ClickHouse |
26.3 以上 26.3.62.3-lts 未満 26.8 以上 26.8.36.3-lts 未満 26.9 以上 26.9.27.3-stable 未満 26.10 以上 26.10.3.7-stable 未満 |
26.3.62.3-lts 26.8.36.3-lts 26.9.27.3-stable 26.10.3.7-stable |
| ClickHouse | ClickHouse Cloud |
25.12 以上 25.12.1.1713 未満 26.2 以上 26.2.1.835 未満 26.4 以上 26.4.1.2704 未満 26.6 以上 26.6.1.2439 未満 26.8 以上 26.8.1.597 未満 26.10 以上 26.10.2.84 未満 |
25.12.1.1713 26.2.1.835 26.4.1.2704 26.6.1.2439 26.8.1.597 26.10.2.84 |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ
- Debian DEBIAN-CVE-2026-116366 clickhouse
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An issue has been discovered in ClickHouse Server that, under certain conditions, could allow an unauthenticated user with network access to execute arbitrary code on the ClickHouse Server.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web github.com
- web clickhouse.com
- web nvd.nist.gov
- web github.com