Kritieke kwetsbaarheid in ClickHouse (CVE-2026-116366): dit moet u nu doen

Op 30 oktober 2026 bracht ClickHouse updates uit voor CVE-2026-116366, een kritieke kwetsbaarheid in ClickHouse Server. Volgens de melding van ClickHouse kan een aanvaller met netwerktoegang onder bepaalde omstandigheden zonder in te loggen willekeurige code op de server uitvoeren. Draait u ClickHouse zelf, of een tool die ClickHouse meebrengt? Update dan deze week.

Wat we weten over CVE-2026-116366

ClickHouse geeft het lek een CVSS v4.0-score van 9,5 (kritiek). Volgens de vector is er geen inlog en geen handeling van een gebruiker nodig (PR:N/UI:N). De aanval geldt wel als complex (AC:H), wat past bij de “bepaalde omstandigheden” uit de melding.

Veel is nog onbekend. De melding zegt niet om welke interface of poort het gaat, of aan welke voorwaarden een aanvaller moet voldoen. ClickHouse maakt de patch na 13 november 2026 openbaar; dan komen er waarschijnlijk meer details. De kwetsbaarhedendatabase Strix noemt het een integer overflow (CWE-190), maar ClickHouse zelf heeft dat niet bevestigd.

Over misbruik: ClickHouse heeft “geen aanwijzingen” dat het lek in ClickHouse Cloud is misbruikt. Over zelf gehoste servers zegt het bedrijf niets. Op 30 oktober stond het lek niet in de lijst van actief misbruikte kwetsbaarheden van het Amerikaanse CISA. Dat kan veranderen zodra de patch openbaar is en iedereen die kan bestuderen.

Welke versies het lek dichten

ClickHouse Cloud en BYOC zijn al bijgewerkt. Daar hoeft u niets te doen.

Voor zelf gehoste servers noemt de security changelog deze opensourceversies:

Versielijn	Opgelost in
26.3 (LTS)	26.3.62.3-lts
26.8 (LTS)	26.8.36.3-lts
26.9	26.9.27.3-stable
26.10	26.10.3.7-stable

Draait u een oudere lijn, zoals 25.x of 24.x? De oplossing is alleen in ondersteunde versies verwerkt, en de melding zegt niet of oudere lijnen kwetsbaar zijn. Wacht daar niet op en stap over op een van de lijnen hierboven.

Misschien draait u ClickHouse zonder het te weten

ClickHouse wordt vaak meegeleverd met een andere tool en staat dan niet op uw lijstje met databases. Twee bekende voorbeelden:

• Langfuse, het opensourceplatform voor het volgen en evalueren van LLM-toepassingen. De zelf gehoste versie bewaart traces in ClickHouse. Op 30 oktober zette Langfuse in zijn Docker Compose-bestand ClickHouse van 25.12 naar 26.3.62.3-lts. Hebt u Langfuse met een ouder exemplaar van dat bestand geïnstalleerd, dan draait u nog 25.12.
• Plausible Community Edition, de privacyvriendelijke webstatistieken, slaat bezoeken op in ClickHouse. Het compose-bestand gebruikt de image clickhouse/clickhouse-server:24.12-alpine.

Hetzelfde geldt voor andere tools voor monitoring en analyse. Zoek in de compose-bestanden en Helm-charts op uw servers naar clickhouse.

Is uw ClickHouse bereikbaar via het netwerk?

Een aanvaller heeft netwerktoegang nodig, dus het telt mee wie uw server kan bereiken. ClickHouse luistert standaard op poort 8123 voor HTTP en poort 9000 voor het eigen protocol, en met TLS op 8443 en 9440.

Het goede nieuws: de standaardinstallaties van Langfuse en Plausible zetten die poorten niet open naar internet. Langfuse koppelt ze aan 127.0.0.1 en Plausible publiceert ze helemaal niet. Het gaat mis als iemand ze later “even” openzet voor een BI-tool, of als ClickHouse op een cloudserver draait met een te ruime firewall.

Wat u nu moet doen

1. Maak een lijst. Zoek op uw servers, in compose-bestanden en Helm-charts naar clickhouse, ook binnen andere tools.
2. Controleer de versie. Voer SELECT version() uit in de ClickHouse-client, of kijk naar de imagetag van de container.
3. Update naar een van de versies uit de tabel. Neem voor Langfuse het actuele compose-bestand of zet de ClickHouse-image op 26.3.62.3-lts of nieuwer.
4. Sluit de poorten. Zorg dat 8123, 9000, 8443 en 9440 niet vanaf internet bereikbaar zijn. Alleen de applicatie die ClickHouse gebruikt heeft toegang nodig. Test dit van buitenaf, bijvoorbeeld met nc -vz <ip> 9000 vanaf een ander netwerk.
5. Leg de versie vast. Gebruik een exacte imagetag. Dan weet u wat er draait en ziet u de volgende keer snel of u geraakt bent.
6. Houd de details in de gaten. Kijk na 13 november opnieuw in de security changelog en de GitHub-meldingen van ClickHouse. Blijkt een aanval sporen achter te laten, loop dan uw logs na.