ClickHouse Server: Unauthentifizierte Remote Code Execution

Zusammenfassung

ClickHouse Server enthält eine Schwachstelle, die unter bestimmten Bedingungen einem nicht authentifizierten Angreifer mit Netzwerkzugriff erlaubt, beliebigen Code auf dem Server auszuführen. Der CVE-Eintrag stuft sie als kritisch ein (CVSS 4.0 Base Score 9.5) und ordnet sie CWE-190 (Integer Overflow oder Wraparound) zu. Der Hersteller hat die genauen Auslösebedingungen nicht offengelegt, und zum Zeitpunkt der Erstellung ist weder eine bestätigte Ausnutzung noch ein öffentlicher Proof of Concept bekannt.

Betroffen

• ClickHouse Server 26.3 vor 26.3.62.3-lts
• ClickHouse Server 26.8 vor 26.8.36.3-lts
• ClickHouse Server 26.9 vor 26.9.27.3-stable
• ClickHouse Server 26.10 vor 26.10.3.7-stable
• Ältere und nicht mehr unterstützte Versionen: Unbekannt. Als verwundbar behandeln.
• ClickHouse Cloud und BYOC: Laut Hersteller bereits gepatcht.

Behoben in

• ClickHouse Server 26.3.62.3-lts
• ClickHouse Server 26.8.36.3-lts
• ClickHouse Server 26.9.27.3-stable
• ClickHouse Server 26.10.3.7-stable
• ClickHouse Cloud und BYOC: vom Hersteller gepatcht

Umgehung

Unbekannt. Der Hersteller dokumentiert keinen Workaround.

• Übergangsmassnahme (nicht vom Hersteller): Netzwerkzugriff auf die ClickHouse-Ports auf vertrauenswürdige Hosts beschränken, bis das Update abgeschlossen ist.

Ausnutzung

• Laut Hersteller gibt es keine Hinweise auf eine Ausnutzung.
• CISA KEV: nicht gelistet.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein verwendbarer öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle ClickHouse-Instanzen inventarisieren, inklusive Docker-, Kubernetes- sowie Test- und Analyseumgebungen.
• Auf den Fix-Build des jeweiligen Release-Zweigs aktualisieren oder auf den neuesten Build.
• Netzwerkzugriff auf die ClickHouse-Ports jetzt einschränken, insbesondere bei Adressen, die aus dem Internet erreichbar sind.
• Logs auf ClickHouse-Hosts auf ungewöhnliche Aktivitäten prüfen.
• NVD- und Herstellerseiten auf Änderungen bei Bedingungen oder betroffenen Versionen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  googlesky/CVE-2026-116366

Quellen der Recherche

• ClickHouse Security Changelog clickhouse.com
• ClickHouse SECURITY.md github.com
• ClickHouse Trust Center trust.clickhouse.com
• Strix CVE entry www.strix.ai
• CVE threatint entry cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:28.