CVE-2026-116366: RCE in ClickHouse senza autenticazione

Il CVE-2026-116366 identifica una vulnerabilità di esecuzione di codice arbitrario in ClickHouse Server. Un attaccante non autenticato con accesso di rete può eseguire codice remoto sul server sotto determinate condizioni. Questo colpisce qualsiasi organizzazione che utilizza ClickHouse come database in rete, compromettendo completamente l'integrità e la riservatezza dei dati gestiti.

La vulnerabilità è classificata CVSS 9,5 ed è dichiarata critical. Pubblicata il 2026-10-30, genera tre post su X nelle ultime 24 ore con segnali coerenti. Non sono segnalati repository pubblici di exploit, tuttavia la rapida circolazione delle informazioni espone velocemente le installazioni vulnerabili.

I difensori devono agire immediatamente: inventariare tutte le installazioni di ClickHouse, identificare le versioni in uso, applicare i patch disponibili (26.3.62.3-lts, 26.8.36.3-lts e altre), verificare i controlli di accesso di rete ai server ClickHouse e monitorare log di accesso per attività sospette. La correzione è urgente data la criticità.

La descrizione ufficiale NVD non riporta esplicitamente tutte le versioni interessate, suggerendo che il vendor ClickHouse ha fornito dettagli tramite i propri canali. Verificare direttamente le comunicazioni ufficiali del vendor per l'elenco completo delle versioni vulnerabili e delle relative correzioni.

Una vulnerabilità RCE non autenticata in un database server rappresenta uno dei rischi più gravi per l'infrastruttura IT. La priorità assoluta è verificare l'esposizione nelle proprie reti e applicare le patch il prima possibile, considerando la facilità di sfruttamento e l'assenza di barriere di autenticazione.