Jenkins本体に脆弱性15件、修正版へ更新を

やること

Jenkins はソフトの自動ビルドやテストに使う開発基盤です。自社で動かしている場合は次のバージョンへ更新してください。

• 週次版は 2.588 です
• LTS 版は 2.580.2 です

先に急ぐ環境は2つあります。初期設定（セットアップウィザード）を終えていない Jenkins と、API トークンが外に出た可能性のある Jenkins です。

何が危ないのか

Jenkins プロジェクトは10月28日に本体の脆弱性15件を公表しました。13件が High、2件が Medium で、公報に悪用の記載はありません。プラグインの脆弱性は、この公報には含まれません。

CVE-2026-117612 は、設定データ（XML）を読み込むときの確認が抜けている欠陥です。公報の説明では、全体の読み取り権限（Overall/Read）に加えて、ユーザーアカウントを持っているか、設定ファイル（config.xml）を送れる権限（ジョブの設定権限など）があると、任意のクラスを動かしてコードを実行できるおそれがあります。匿名の利用者だけでは条件に足りません。公報には CVSS のベクトルだけが載っていて、そこから基本値を計算すると 8.8 です。

CVE-2026-117618 は初期設定の処理の欠陥です。最初の管理者を置き換えている最中に、Jenkins 自身のユーザーデータベースの窓口が、設定の完了を確かめません。ログインしていない攻撃者が割り込んで、管理者アカウントを作れるおそれがあります。ただし、タイミングを合わせる必要があり、攻撃の難しさは高いと評価されています。

CVE-2026-117619 はログイン状態を保つ Cookie（remember-me）の欠陥です。この Cookie は、取得したときの認証方法に左右されず、API トークンを使った通信でも発行されていました。トークンを無効にしたあとも、手元の Cookie で接続が続くおそれがあります。修正版は、トークンなどの Basic 認証の通信からはこの Cookie を発行しなくなります。公報は、修正前に発行された Cookie が無効になるかどうかは示していません。

15件の見分け方

15件の多くは、ログインして一定の権限を持つ人が悪用する欠陥です。必要な権限は件ごとに違います。

• 全体の読み取り権限だけで足りるもの：エージェント名を使ったパス指定での config.xml の読み込みと上書き（CVE-2026-117616）、パンくずリストの表示を使った保存型 XSS（CVE-2026-117623）、HTTP プロキシ設定の取得（CVE-2026-117625、Medium）、ファイルブラウザの CVE-2026-117626（Medium）
• ジョブや構成の設定権限が要るもの：エージェント起動コマンドの承認の回避（CVE-2026-117614、Agent/Configure）、ファイルの任意作成（CVE-2026-117617）など
• 認証が要らないもの：CVE-2026-117618 だけです

全体の読み取り権限は、社内の多くの人に配りがちな権限です。誰がどの権限を持っているかが、被害の広がりを決めます。

更新できないとき

公報は、修正版に上げられない場合の緩和として、CSP（ブラウザーが読み込む内容を制限する仕組み）を有効にする方法を挙げています。週次版 2.539 以降、LTS 2.541.1 以降が対象です。ただし、効くのは XSS 系の一部の項目に限られます。管理者を作られる欠陥や、コードを実行される欠陥は防げないので、更新の代わりにはなりません。

対象

週次版は 2.587 以前、LTS 版は 2.580.1 以前が対象です。公報は、特に断りがなければそれより前のバージョンもすべて対象としています。