1 artículo con esta etiqueta
El 28 de octubre de 2026 el proyecto Jenkins publicó un aviso de seguridad que corrige 15 vulnerabilidades del núcleo de Jenkins (CVE-2026-117612 a CVE-2026-117626) en la versión semanal 2.588 y en LTS 2.580.2. Están afectadas la semanal 2.587 y anteriores y LTS 2.580.1 y anteriores. El aviso califica 13 como altas y 2 como medias. La mayoría exige algún permiso, como Overall/Read o Item/Configure (algunas configuraciones dan Overall/Read a usuarios anónimos). La excepción es CVE-2026-117618, una condición de carrera en el asistente de configuración que permite a un usuario no autenticado crear una cuenta de administrador durante la configuración inicial, lo que sube la prioridad de las instalaciones nuevas de Jenkins expuestas a internet. Las únicas mitigaciones que indica el aviso son ajustes para desactivar las nuevas comprobaciones si la actualización causa problemas y la aplicación obligatoria de la Política de Seguridad de Contenido, que limita el impacto conocido de tres fallos XSS; la solución es actualizar. Este sitio no encontró ningún informe creíble de explotación a fecha del 3 de noviembre, y ninguno de los 15 figura en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA. La conclusión de este sitio: confirme su versión de Jenkins, actualice a la 2.588 (LTS 2.580.2), mantenga Jenkins fuera de internet y a los usuarios anónimos sin permisos, y revise usuarios, administradores y agentes tras actualizar.