Para: quienes gestionan Jenkins por su cuenta (servidores propios, VPS, Docker, Kubernetes), responsables de infraestructura de equipos que usan Jenkins y quienes dejan Jenkins en manos de una distribución como CloudBees o de un contratista. Este artículo se basa en el aviso del proyecto Jenkins y en los registros de CVE y NVD. No cubre los pasos de un ataque.
En desarrollo: esta página se actualizará a medida que se publique más información
- A quién afecta
quienes gestionan Jenkins por su cuenta (servidores propios, VPS, Docker, Kubernetes), responsables de infraestructura de equipos que usan Jenkins y quienes dejan Jenkins en manos de una distribución como CloudBees o de un contratista.
- Confirmado hasta ahoraVer la tabla ↓
- Los fallos
- Versiones afectadas
- Explotable sin autenticación
1 más
- Mitigaciones
- Aún sin confirmar
- Cualquier informe de explotación (no se encontró ninguno en lo que este sitio comprobó)
- Si CISA añade alguna de las CVE al catálogo de Vulnerabilidades Explotadas Conocidas (no figuraban el 3 de noviembre)
- La evaluación de la NVD de dos de las 15 (CVE-2026-117625 y 117626 están pendientes de análisis)
- Qué hacer ahoraVer los pasos ↓
- Compruebe la versión de su Jenkins
- Actualice el controlador
- Ponga primero las instalaciones nuevas
3 más
- Revise la exposición y los permisos
- Tras actualizar, revise usuarios, administradores y agentes
- Cambie las credenciales si algo parece sospechoso
- Dónde verificarlo (fuente)Todas las fuentes ↓
- Proyecto Jenkins, «Jenkins Security Advisory 2026-10-28» (28 de octubre de 2026)
- Última comprobación
- A fecha del 3 de noviembre de 2026 (JST)
Próximos avisos y qué comprobamos
El aviso de Jenkins dice que se corrigen 15 problemas en la versión semanal 2.588 y en LTS 2.580.2. Califica 13 como altos y 2 como medios y no da puntuaciones numéricas. La NVD ha analizado 13 de ellos, con puntuaciones base de 5,4 a 8,8.
Qué hacer hoy
Compruebe la versión de su Jenkins
Abra Manage Jenkins > About Jenkins, o mire la versión abajo a la derecha de la página. Están afectadas la semanal 2.587 y anteriores y LTS 2.580.1 y anteriores. Con Docker, compruebe la versión dentro del contenedor en ejecución y no la etiqueta de la imagen; una etiqueta móvil como lts apunta a contenido distinto antes y después de hacer pull. En distribuciones como CloudBees, o si un contratista gestiona Jenkins, lea el aviso del proveedor para saber la versión corregida y pregunte a la persona responsable.
Actualice el controlador
Actualice a la semanal 2.588 o posterior, o a LTS 2.580.2 o posterior. Antes, haga una copia de seguridad de JENKINS_HOME, que contiene la configuración de trabajos y plugins, fuera del servidor. Después compruebe que funcionan el inicio de sesión, la ejecución de un trabajo y la conexión de los agentes.
Ponga primero las instalaciones nuevas
CVE-2026-117618 (SECURITY-4122) permite a un usuario no autenticado crear una cuenta de administrador durante la configuración inicial. La NVD la puntúa con 8,1 (complejidad del ataque alta). Si está configurando un Jenkins nuevo accesible desde internet, o está a punto de hacerlo, haga la configuración en la versión corregida y en un lugar no accesible desde fuera.
Revise la exposición y los permisos
Por defecto, Jenkins debe estar en una red interna o dedicada, no directamente en internet. Si tiene que ser accesible, póngalo detrás de una VPN o de un proxy con autenticación. Compruebe también si hay configuraciones con «Logged-in users can do anything» y usuarios anónimos con Overall/Read. Varios de los 15 problemas del aviso dependen de Overall/Read.
Tras actualizar, revise usuarios, administradores y agentes
Recorra la lista de usuarios, las cuentas con derechos de administrador y la configuración de los nodos (agentes) en busca de algo que no reconozca. Sea más minucioso si personas con permisos tuvieron acceso mientras estaba sin parchear. Si aparece una advertencia de «Manage Old Data» que no reconoce, no actúe sobre ella.
Cambie las credenciales si algo parece sospechoso
Si encuentra una cuenta o un ajuste sospechoso, cambie las contraseñas de administradores y usuarios, los tokens de API y las credenciales almacenadas en Jenkins (claves de la nube, claves de repositorios). Cómo proceder se explica en cómo comprobar si una cuenta se usó sin permiso y en la guía de respuesta a vulnerabilidades.
Nuevo y expuesto a internet
Máxima prioridad. Termine la configuración en la versión corregida, fuera de internet
Muchas personas con permisos
Actualice pronto y luego revise usuarios, administradores y agentes
Solo interno, pocos permisos
Actualice según lo previsto y revise los ajustes al mismo tiempo
Qué dice el aviso
El proyecto Jenkins publicó «Jenkins Security Advisory 2026-10-28» el 28 de octubre de 2026. Cubre el núcleo de Jenkins y ningún plugin.
- Versiones afectadas
- Semanal 2.587 y anteriores, LTS 2.580.1 y anteriores. El aviso dice que todas las versiones previas se consideran afectadas salvo que se indique otra cosa
- Versiones corregidas
- Semanal 2.588, LTS 2.580.2
- Número y gravedad
- 15 problemas. El aviso califica 13 como altos y 2 como medios (CVE-2026-117625 y 117626). No da puntuaciones numéricas
- Mitigaciones
- Ajustes para desactivar las nuevas comprobaciones si la actualización causa problemas (SECURITY-4125, 4225) y aplicación obligatoria de la Política de Seguridad de Contenido en 2.539+ y LTS 2.541.1+ (para SECURITY-4225 mitiga el «impacto conocido», y aún podrían ser posibles otros XSS u otros tipos de vulnerabilidad; para SECURITY-4229 y 4232 mitiga «esta vulnerabilidad»). No se da ninguna mitigación para las demás
- Explotación
- El aviso no menciona explotación
- Publicación
- Las 15 se publicaron el 28 de octubre de 2026 por el proyecto Jenkins como CNA. Los rangos de versiones coinciden con el aviso
- Evaluación de la NVD (a 3 de noviembre)
- 13 están analizadas, con puntuaciones base CVSS v3.1 de 5,4 a 8,8. CVE-2026-117625 y 117626 están pendientes de análisis. El «alto» y «medio» del aviso y las puntuaciones de la NVD proceden de evaluadores distintos, por lo que no siempre coinciden
Los 15 problemas, agrupados por impacto
La columna de permisos es lo que el aviso dice que necesita un atacante. La columna NVD es la puntuación base CVSS v3.1 de la NVD.
| Impacto | CVE (SECURITY-ID) | Gravedad del aviso | Qué necesita el atacante (aviso) | NVD |
|---|---|---|---|---|
| Podría ejecutarse código en el controlador | CVE-2026-117612 (4125) | Alta | Overall/Read más una cuenta de usuario, o permiso para enviar con POST config.xml | 8,8 |
| CVE-2026-117614 (4123) | Alta | Agent/Configure | 7,2 | |
| CVE-2026-117616 (4188) | Alta | Overall/Read | 8,8 | |
| CVE-2026-117617 (4248) | Alta | Item/Configure | 8,1 | |
| Lectura arbitraria de archivos (el aviso dice que puede llevar a la ejecución de código) | CVE-2026-117615 (4187) | Alta | Item/Create e Item/Configure | 6,5 |
| Cuenta de administrador creada o tomada | CVE-2026-117618 (4122) | Alta | Ninguno (no autenticado), durante la configuración inicial | 8,1 |
| CVE-2026-117620 (4226) | Alta | Overall/Read; lo activa una acción de un administrador | 8,8 | |
| Una sesión sobrevive a su credencial | CVE-2026-117619 (4189) | Alta | Posesión del token de API de un usuario | 8,1 |
| Creación de registros de usuario (impacto confirmado limitado) | CVE-2026-117624 (4243) | Alta | No se indica; no se pueden crear cuentas capaces de iniciar sesión | 8,8 |
| Cross-site scripting (XSS) | CVE-2026-117613 (4225) | Alta | Item/Configure | 5,4 |
| CVE-2026-117623 (4229) | Alta | Overall/Read | 5,4 | |
| CVE-2026-117621 (4232) | Alta | Control de un proceso de agente | 6,1 | |
| CVE-2026-117622 (4249) | Alta | Control de un proceso de agente | 6,1 | |
| Divulgación de información limitada | CVE-2026-117625 (4206) | Media | Overall/Read (se ven los ajustes del proxy HTTP) | Pendiente de análisis |
| CVE-2026-117626 (4237) | Media | Overall/Read (se ven nombres, tamaños y fechas de modificación de archivos); con Item/Workspace, también los nombres de los trabajos que tienen un espacio de trabajo en el mismo agente | Pendiente de análisis |
Una nota para leer esto: algunas puntuaciones de la NVD son más bajas que el «alto» del aviso. Son evaluaciones distintas y ninguna es simplemente errónea. La posición de este sitio es actualizar pronto aunque se exija un permiso, porque Jenkins suele guardar secretos y derechos de despliegue.
Explotación
A fecha del 3 de noviembre de 2026 este sitio no encontró ningún informe creíble de que se hayan explotado estas vulnerabilidades. El aviso de Jenkins tampoco menciona explotación.
- Aviso de Jenkins
- No menciona explotación
- KEV
- Ninguna de CVE-2026-117612 a 117626 figura en el catálogo KEV de CISA (última actualización el 30 de octubre). KEV incluye seis vulnerabilidades anteriores de Jenkins y productos relacionados, como plugins
La opinión de este sitio: que no haya informes no es lo mismo que estar a salvo. La corrección tiene solo unos días y el panorama puede cambiar. Jenkins es un producto que ya se ha explotado antes, así que actualice sin esperar informes las instancias expuestas a internet y con permisos amplios.
Qué se sabe y qué no
| Elemento | Qué se publicó | Estado |
|---|---|---|
| Los fallos | 15 en el núcleo (13 altos, 2 medios), corregidos en 2.588 y LTS 2.580.2 (aviso de Jenkins) | Confirmado (Jenkins) |
| Versiones afectadas | Semanal 2.587 y anteriores, LTS 2.580.1 y anteriores (aviso, registros de CVE) | Confirmado (Jenkins) |
| Explotable sin autenticación | Solo CVE-2026-117618, durante la configuración inicial (aviso) | Confirmado (Jenkins) |
| Mitigaciones | Solo ajustes para problemas tras la actualización y CSP obligatoria para XSS; ninguna para el resto | Confirmado (Jenkins) |
| Puntuaciones numéricas | Ninguna en el aviso; la NVD analizó 13 (5,4 a 8,8), 2 pendientes | Parcial (NVD) |
| Explotación | Ningún informe encontrado en lo que este sitio comprobó | Ninguno notificado |
| CISA KEV | No figuran a 3 de noviembre | No figuran |
| Plugins | Este aviso cubre solo el núcleo | No cubiertos (aviso) |
Si otra persona gestiona Jenkins por usted
En imágenes de Docker, charts de Helm de Kubernetes, distribuciones como CloudBees y Jenkins gestionado por un contratista, asegúrese de poder ver la versión del núcleo de Jenkins que llevan dentro. Tres preguntas ponen las cosas en marcha:
- ¿Qué versión de Jenkins está en ejecución (2.588 o posterior, o LTS 2.580.2 o posterior)?
- ¿Cuándo se actualizará, o cuándo se actualizó?
- ¿Es accesible desde internet y los usuarios anónimos tienen algún permiso?
La opinión de este sitio: el problema no es tanto cada fallo como cuánto poder concentra Jenkins
Jenkins suele ser donde se juntan el código fuente, las claves de la nube y los derechos de despliegue. Un fallo en el núcleo puede convertirse así en un problema para toda su cadena de compilación y publicación. Además de actualizar, revise con regularidad quién tiene qué permiso, si Jenkins es accesible desde fuera y cuántas credenciales guarda. Para saber cómo priorizar, vea cómo priorizar vulnerabilidades (CVSS, EPSS, KEV).
Cronología
28 de octubre de 2026
El proyecto Jenkins publica su aviso de seguridad. Se corrigen 15 problemas del núcleo en 2.588 y LTS 2.580.2, y se publican CVE-2026-117612 a 117626.Hasta el 3 de noviembre
La NVD analiza 13 de las 15 (puntuaciones base de 5,4 a 8,8); 2 están pendientes de análisis.3 de noviembre
Este sitio comprueba el aviso, los registros de CVE y NVD y KEV. No encuentra ningún informe de explotación y ninguna de las CVE figura en KEV.
Fuentes (registro público)
Comprobadas el 3 de noviembre de 2026. Primero va el aviso oficial.
- Proyecto Jenkins, «Jenkins Security Advisory 2026-10-28» (28 de octubre de 2026) — jenkins.io
- CVE-2026-117612 a 117626 (publicadas el 28 de octubre de 2026 por el proyecto Jenkins) — cve.org (ejemplo: CVE-2026-117618) / nvd.nist.gov (ejemplo: CVE-2026-117618)
- Catálogo de Vulnerabilidades Explotadas Conocidas de CISA (comprobado el 3 de noviembre para estas 15 CVE; datos actualizados por última vez el 30 de octubre) — cisa.gov / JSON
Historial de actualizaciones
2026-11-03: Primera versión, basada en el aviso de Jenkins 2026-10-28 y en los registros de CVE y NVD. A fecha del 3 de noviembre no se encontró ningún informe de explotación y ninguna de las CVE figura en KEV.
Leer a continuación
- Actualizar una plataforma de desarrollo autoalojada: el parche de emergencia de GitLab (CVE-2026-110264)
- Después de la divulgación: la guía de respuesta a vulnerabilidades / cómo priorizar vulnerabilidades (CVSS, EPSS, KEV)
- Preparación: Lista de comprobación del inventario de seguridad / Cómo comprobar si una cuenta se usó sin permiso
- Términos: Qué es RCE (ejecución remota de código) / Qué es XSS / Qué es path traversal / Qué es CVSS