Уважаемые клиенты Altinity и пользователи ClickHouse,
Это обновление касается CVE-2026-116366, уязвимости безопасности, которая при определенных условиях может позволить неаутентифицированному пользователю с сетевым доступом выполнять произвольный код на сервере ClickHouse.
Дополнительные технические детали остаются под эмбарго до 13 ноября 2026 года. Хотя эксплуатация требует определенных условий, мы рекомендуем как можно скорее обновиться до исправленной версии, чтобы обеспечить безопасность ваших инсталляций ClickHouse.
Уязвимость была устранена в следующих сборках Altinity:
- 24.3.18.10428.altinitystable
- 24.8.14.10551.altinitystable
- 25.3.14.10003.altinitystable
- 25.8.33.10003.altinitystable
- 25.8.33.20004.altinityantalya
- 26.3.60.10002.altinitystable
- 26.3.60.20002.altinityantalya
Пакеты для Debian и RPM доступны на builds.altinity.cloud, а образы контейнеров доступны на Docker Hub.
Исправления для других сборок Altinity находятся в стадии подготовки. Мы ожидаем дальнейших обновлений в начале следующей недели.
Для пользователей, использующих базовые версии ClickHouse, также доступны исправленные образы Docker, хотя соответствующие релизы еще не были официально опубликованы:
- 26.3.62.3
- 26.8.36.3
- 26.9.27.3
- 26.10.3.7
Если вы используете версию ClickHouse, которой нет в списке выше, пожалуйста, обновитесь до одной из исправленных сборок Altinity или релизов базового ClickHouse, чтобы устранить эту уязвимость.
Мы хотели бы поблагодарить команду безопасности ClickHouse, Inc. за сотрудничество и предоставление исправлений безопасности, которые помогают нам обеспечивать безопасность сообщества ClickHouse.
Присоединяйтесь к нашему Slack
ClickHouse является зарегистрированным товарным знаком ClickHouse, Inc.; Altinity не связана и не аффилирована с ClickHouse, Inc.
Получайте последние новости о ClickHouse прямо на свой почтовый ящик каждый месяц.
