CVE-2026-116366CVSS 9.5未认证服务器 RCE
厂商 CNA 将缺陷归为整数溢出或回绕；未认证网络用户可在未披露条件下执行代码。9.5 分采用 CVSS v4.0。
ClickHouse 修复未认证服务器代码执行漏洞，覆盖四条版本线
ClickHouse 披露 CVE-2026-116366：未认证网络用户可在特定条件下远程执行代码。四条开源版本线已有修复，厂商称 Cloud 和 BYOC 已完成修补。触发条件及受影响接口尚未披露，在野利用未获确认。
- 披露时间
- 2026年10月30日
- 公开披露日期
- 严重程度
- CVSS 9.5
- 本页收录 1 个 CVE
- 波及范围
- 低于所列修复版本且可通过网络访问的自管 ClickHouse 服务器；具体触发条件未披露
- ClickHouse · 数据库 · RCE
- 在野利用
- 未知
- 厂商未确认在野利用；CISA 10 月 30 日评估列为未见利用。
发生了什么
ClickHouse 是主流数据库，且厂商确认存在未认证代码执行，因此据已披露范围评为 L3。CNA 攻击向量不要求身份验证或用户交互，但攻击复杂度为高。评分或网络可达性均不能证明每台可访问的安装都可被利用：厂商尚未说明额外条件。
这些来源未确立公开利用代码或受害者数量。记录中的 CISA 评估是 10 月 30 日快照，不能证明之后不会发生攻击。所引来源未公布事件专属排查指标。厂商未将此缺陷与独立的 Brotli 漏洞关联，不能因发布日期接近就推断根因相同。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| ClickHouse 26.10 稳定版 | 26.10.3.7 | 已修复 |
| ClickHouse 26.9 稳定版 | 26.9.27.3 | 已修复 |
| ClickHouse 26.8 LTS | 26.8.36.3 | 已修复 |
| ClickHouse 26.3 LTS | 26.3.62.3 | 已修复 |
| 其他开源版本线 | 无修复 | 迁移至受支持版本线 |
案发时间线
2026年10月25日
发布稳定版修复包
软件包索引将 26.10.3.7 和 26.9.27.3 标注为当天发布；软件包日期不等于公开披露日期。
2026年10月26日
发布 LTS 修复包
软件包索引将 26.8.36.3 和 26.3.62.3 标注为当天发布。
10月30日 10:59 UTC
厂商记录公开披露
CNA 的公开日期与 10 月 30 日安全更新日志确立披露日；CVE 记录于 11:00 UTC 发布。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。