Уважаемые клиенты Altinity и пользователи ClickHouse. Искусственный интеллект оказывает серьезное давление на разработчиков программного обеспечения, обнаруживая ошибки и потенциальные уязвимости. ClickHouse не является исключением. Пожалуйста, как можно скорее обновитесь для устранения недавних обнаруженных проблем:
- CVE-2026-111497 — уязвимость, связанная с декодером Brotli, который является сторонней зависимостью, используемой сервером ClickHouse, и может позволить специально сформированным запросам со сжатием Brotli вызывать сбои в работе сервера ClickHouse. Она затрагивает все версии ClickHouse, начиная с 19.3.3
- CVE-2026-111943 и другие — компрометация центра сертификации, включенного в базовые образы Debian, используемые для сервера ClickHouse.
- CVE-2026-116366 — сервер ClickHouse при определенных условиях может позволить неаутентифицированному пользователю с сетевым доступом выполнять произвольный код на сервере ClickHouse. Детали CVE не будут раскрыты до 13 ноября.
Первые две проблемы были решены в следующих сборках Antalya.
- 26.6.8.20003.altinityantalya — ожидается 2 ноября.
Мы работаем над устранением последней проблемы в течение нескольких дней, поэтому следите за обновлениями.
Если вы используете официальный (upstream) ClickHouse, обновленные образы для всех проблем доступны в DockerHub, но релизы еще не были официально опубликованы:
- 26.3.62.3
- 26.8.36.3
- 26.9.27.3
- 26.10.3.7
Если вы используете версии программного обеспечения ClickHouse вне этого списка, обновитесь до LTS-версии upstream или сборки Altinity, чтобы получить патч.
Мы выражаем благодарность команде безопасности ClickHouse Inc. за информирование и распространение исправлений CVE в целях обеспечения безопасности всех инсталляций ClickHouse.
Присоединяйтесь к нашему Slack
ClickHouse является зарегистрированным товарным знаком ClickHouse, Inc.; Altinity не связана и не аффилирована с ClickHouse, Inc.
Получайте последние новости о ClickHouse прямо на свой электронный ящик каждый месяц.
