ClickHouse mengumumkan CVE-2026-116366 pada 30 Oktober 2026, celah di ClickHouse Server yang menurut catatan keamanan resminya memungkinkan pengguna tanpa autentikasi, selama punya akses jaringan, menjalankan kode sembarang di server. Catatan CVE menggolongkan kelemahannya sebagai integer overflow (CWE-190) dengan skor CVSS v4.0 sebesar 9,5. Kompleksitas serangan dinilai tinggi, jadi tidak semua server otomatis mudah dibobol. ClickHouse tidak menjelaskan kondisi persisnya, dan penemunya adalah peneliti Elshad Toklayev.
Versi terdampak dan versi perbaikan
Catatan keamanan ClickHouse tidak merinci versi terdampak, tetapi mencantumkan empat build perbaikan untuk instalasi mandiri: 26.10.3.7 untuk cabang 26.10, 26.9.27.3 untuk cabang 26.9, 26.8.36.3 untuk cabang LTS 26.8, dan 26.3.62.3 untuk cabang LTS 26.3. Analisis Brandefense menafsirkan semua build di bawah angka itu pada tiap cabang sebagai terdampak. Cabang 26.4 sampai 26.7 serta 26.2 ke bawah tidak mendapat perbaikan, menurut Brandefense. ClickHouse Cloud dan BYOC sudah ditambal oleh ClickHouse sendiri.
Ada satu kerumitan bagi tim yang membangun dari kode sumber. Brandefense mencatat image Docker perbaikan sudah diunggah sejak 26 Oktober, tetapi hingga 30 Oktober pukul 19.00 UTC repositori GitHub belum memuat rilis atau tag yang sesuai. Tim yang membangun sendiri disarankan menunggu tag tersebut.
Soal eksploitasi, CISA belum memasukkan celah ini ke katalog KEV per 30 Oktober, dan data tambahan CISA pada catatan CVE menilai eksploitasi “none”. Toklayev mengeklaim di X bahwa celah ini memberi eksekusi kode tanpa login hanya dengan nama host publik. Klaim itu berasal dari satu peneliti dan belum diulang oleh ClickHouse. Vendor juga belum menerbitkan indikator kompromi.
Langkah yang perlu diambil
ClickHouse tidak menyediakan solusi sementara. Satu-satunya anjuran resminya adalah menjalankan versi yang sudah diperbaiki. Pengelola server bisa mulai dengan mendata semua simpul dan memeriksa versinya lewat perintah SELECT version(). Setelah itu, uji dari luar jaringan apakah port 8123, 8443, 9000, dan 9440 menjawab. Server yang terbuka ke internet perlu ditambal lebih dulu, satu replika per giliran pada klaster, dengan pengecekan versi setelah tiap pembaruan.
Sambil menunggu jadwal pembaruan, batasi akses lewat firewall, jaringan privat, atau daftar IP yang diizinkan di ClickHouse Cloud. Pengguna cabang yang tidak didukung perlu pindah ke 26.3 LTS, 26.8 LTS, 26.9, atau 26.10, dan sampai itu selesai, server sebaiknya dijauhkan dari jaringan yang tidak tepercaya. Pantau juga proses tak dikenal yang dijalankan oleh pengguna clickhouse, koneksi keluar yang janggal, dan koneksi dari rentang alamat yang tidak dikenal.
Bagi tim data di Indonesia yang memakai ClickHouse untuk analitik log atau metrik, risikonya terbesar ada pada server yang sengaja dibuka ke internet demi dasbor atau integrasi. Satu pemeriksaan port dan satu pembaruan versi sudah menutup sebagian besar kemungkinan itu.
Sumber: catatan keamanan ClickHouse dan Brandefense. Gambar: Brandefense.