対象：Jenkinsを自分で運用している人（自社サーバー・VPS・Docker・Kubernetes）と、Jenkinsを使うチームのインフラ担当、CloudBeesなどの配布版や委託先に運用を任せている人。本記事はJenkinsプロジェクトの公式勧告とCVE・NVDの記録にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
Jenkinsを自分で運用している人（自社サーバー・VPS・Docker・Kubernetes）と、Jenkinsを使うチームのインフラ担当、CloudBeesなどの配布版や委託先に運用を任せている人。
- 影響が確認された範囲表で見る ↓
- 脆弱性の存在
- 影響を受ける版
- 認証なしで悪用できる件
さらに1件
- 回避策
- 未確認事項
- 実際の悪用の報告（確認した範囲では見つかっていない）
- 米CISAの悪用が確認された脆弱性の一覧（KEV）への追加（11月3日時点では未掲載）
- NVDの評価（15件のうち2件、CVE-2026-117625・117626は評価待ち）
- 今やること手順を見る ↓
- Jenkinsの版を確かめる
- コントローラを更新する
- 新しく立てたJenkinsは最優先にする
さらに3件
- 公開と権限の設定を見直す
- 更新後に、利用者・管理者・エージェントを点検する
- 不審な点があれば、認証情報を入れ替える
- 最終確認日時
- 2026年11月3日（日本時間）時点
発表の続報予定と確認の記録
Jenkinsの公式勧告は、15件を週次版2.588とLTS 2.580.2で修正したと書いています。勧告の深刻度は高が13件、中が2件で、数値のスコアは勧告に載っていません。NVDは13件を評価済みで、基本スコアは5.4〜8.8です。
今日やること
Jenkinsの版を確かめる
管理画面の「Jenkinsの管理」→「Jenkinsについて」、または画面右下の版表示で確かめます。対象は週次版2.587以前とLTS 2.580.1以前です。Dockerで動かしている場合は、イメージのタグではなく、起動中のコンテナの中の版を見てください。lts のように動くタグは、取り直す前と後で中身が変わります。CloudBeesなどの配布版や、委託先が運用するJenkinsは、提供元のお知らせで対応版を確かめ、担当者に状況を聞きます。
コントローラを更新する
週次版は2.588以降、LTSは2.580.2以降に更新します。ジョブとプラグインの設定を含むJENKINS_HOMEのバックアップを、サーバーの外に取ってから行ってください。更新したあと、ログイン、ジョブの実行、エージェントの接続が動くことを確かめます。
新しく立てたJenkinsは最優先にする
CVE-2026-117618（SECURITY-4122）は、初期設定の最中に認証なしで管理者アカウントを作られうる問題です。NVDの評価は8.1（攻撃の複雑さは「高」）です。新しいJenkinsをインターネットから届く状態でセットアップしている最中、またはこれから行う場合は、更新した版で、外から届かない場所で初期設定を終えてください。
公開と権限の設定を見直す
Jenkinsは社内や専用のネットワークの中に置き、インターネットに直接出さないのが基本です。出す必要があるときは、VPNや認証付きのプロキシ越しにします。あわせて、「ログインしたユーザーは何でもできる」のままの運用や、匿名ユーザーにOverall/Readを与えている設定がないかを確かめます。勧告の15件のうち、複数がOverall/Read権限を前提にしています。
更新後に、利用者・管理者・エージェントを点検する
利用者の一覧、管理者権限を持つアカウント、ノード（エージェント）の設定に、身に覚えのないものがないかを見ます。更新が遅れた期間に、権限を持つ人がいた環境では特に念入りに見ます。「古いデータの管理」に出る警告は、内容に心当たりがないとき、そのまま実行しないでください。
不審な点があれば、認証情報を入れ替える
不審なアカウントや設定が見つかったら、管理者や利用者のパスワード、APIトークン、Jenkinsに保存している認証情報（クラウドのキー、リポジトリの鍵など）を入れ替えます。進め方は アカウントが不正に使われていないか確かめる方法 と 脆弱性が公表されたときの対応手順 で解説しています。
新規で公開している
最優先。更新した版で、外から届かない場所で初期設定を終える
権限を持つ人が多い
早めに更新し、更新後に利用者・管理者・エージェントを点検
社内のみ・権限が少ない
計画的に更新。設定の見直しも同時に行う
公式勧告の内容
Jenkinsプロジェクトは2026年10月28日、「Jenkins Security Advisory 2026-10-28」を公開しました。対象はJenkins本体（core）で、プラグインは含みません。
- 影響を受ける版
- 週次版は2.587以前、LTSは2.580.1以前。勧告は、特に断りがない限り、それより前の版もすべて影響を受けるとしている
- 修正版
- 週次版2.588、LTS 2.580.2
- 件数・深刻度
- 15件。勧告の深刻度は高が13件、中が2件（CVE-2026-117625、117626）。勧告に数値のスコアはない
- 回避策
- 勧告が挙げるのは、更新後に不具合が出たときに新しい検査を切る設定（SECURITY-4125、4225）と、CSPの強制による緩和（2.539以降、LTS 2.541.1以降）。SECURITY-4225は「既知の影響」が和らぐと書かれ、他のXSSや別種の問題も起こりうると注記されている。SECURITY-4229、4232は「この脆弱性」が和らぐと書かれている。ほかの件に回避策は示されていない
- 悪用
- 勧告に、悪用の記載はない
- 登録
- 15件とも2026年10月28日に、Jenkinsプロジェクト（CNA）が登録。版の範囲は勧告と同じ
- NVDの評価（11月3日時点）
- 13件は評価済みで、CVSS v3.1の基本スコアは5.4〜8.8。CVE-2026-117625・117626は評価待ち。勧告の「高」「中」とNVDのスコアは評価の主体が違うので、一致しない件がある
15件の分類（影響の種類ごと）
権限は、勧告に書かれている「攻撃に必要な権限・条件」です。NVDの数字はNVDの基本スコア（CVSS v3.1）です。
| 影響の種類 | CVE（SECURITY-ID） | 勧告の深刻度 | 必要な権限・条件（勧告） | NVD |
|---|---|---|---|---|
| コントローラ上でコードを実行されうる | CVE-2026-117612（4125） | 高 | Overall/Readに加え、ユーザーアカウントまたはconfig.xmlを送れる権限 | 8.8 |
| CVE-2026-117614（4123） | 高 | Agent/Configure | 7.2 | |
| CVE-2026-117616（4188） | 高 | Overall/Read | 8.8 | |
| CVE-2026-117617（4248） | 高 | Item/Configure | 8.1 | |
| ファイルを読まれる（勧告はコード実行につながりうると説明） | CVE-2026-117615（4187） | 高 | Item/CreateとItem/Configure | 6.5 |
| 管理者アカウントの作成・乗っ取り | CVE-2026-117618（4122） | 高 | なし（認証不要）。初期設定の最中 | 8.1 |
| CVE-2026-117620（4226） | 高 | Overall/Read。管理者の操作が引き金になる | 8.8 | |
| セッションが残る | CVE-2026-117619（4189） | 高 | 利用者のAPIトークンを持っていること | 8.1 |
| 設定にない利用者レコードの作成（確認された影響は限定的） | CVE-2026-117624（4243） | 高 | 勧告に明記なし。ログインできる利用者は作られない | 8.8 |
| クロスサイトスクリプティング（XSS） | CVE-2026-117613（4225） | 高 | Item/Configure | 5.4 |
| CVE-2026-117623（4229） | 高 | Overall/Read | 5.4 | |
| CVE-2026-117621（4232） | 高 | エージェントのプロセスを制御していること | 6.1 | |
| CVE-2026-117622（4249） | 高 | エージェントのプロセスを制御していること | 6.1 | |
| 情報の漏えい（限定的） | CVE-2026-117625（4206） | 中 | Overall/Read（HTTPプロキシの設定が見える） | 評価待ち |
| CVE-2026-117626（4237） | 中 | Overall/Read（ファイル名・サイズ・更新日時が見える）。Item/Workspaceがあると、同じエージェントにワークスペースを持つジョブの名前も分かる | 評価待ち |
読み方の注意：NVDの数字は、勧告の「高」より低いものもあります。勧告の深刻度とNVDのスコアは別の評価なので、どちらかが誤りとは言えません。当サイトは、権限の前提があっても、Jenkinsが秘密情報とデプロイの権限を持つ点を重く見て、更新を急ぐ立場をとります。
悪用の状況
2026年11月3日までに確認した範囲では、この勧告の脆弱性が悪用されたという信頼できる報告は見つかっていません。Jenkinsの勧告にも、悪用の記載はありません。
- Jenkinsの勧告
- 悪用についての記載なし
- KEV
- 米CISAのKEV（データの最終更新は10月30日）に、CVE-2026-117612〜117626は載っていない。KEVには、Jenkinsとそのプラグインなど関連製品の過去の脆弱性が6件載っている
当サイトの見方：「報告がない」ことは「安全」を意味しません。修正版の公開から日が浅く、情報は変わりえます。Jenkinsは過去にも悪用された製品なので、公開されたJenkinsや権限の広いJenkinsは、報告を待たずに更新してください。
分かっていること・分かっていないこと
| 項目 | 公表の内容 | 状態 |
|---|---|---|
| 脆弱性の存在 | 本体の15件（高13、中2）。2.588とLTS 2.580.2で修正（Jenkins勧告） | 確定（Jenkins） |
| 影響を受ける版 | 週次版2.587以前、LTS 2.580.1以前（勧告、CVEの記録） | 確定（Jenkins） |
| 認証なしで悪用できる件 | CVE-2026-117618の1件のみ。初期設定の最中（勧告） | 確定（Jenkins） |
| 回避策 | 更新後の不具合用の設定と、XSSへのCSPの強制のみ。ほかは示されていない | 確定（Jenkins） |
| 数値のスコア | 勧告にはなし。NVDは13件を評価（5.4〜8.8）、2件は評価待ち | 一部のみ（NVD） |
| 悪用 | 確認した範囲で報告なし | 報告なし |
| 米CISAのKEV | 11月3日時点で未掲載 | 未掲載 |
| プラグインへの影響 | この勧告は本体のみが対象 | 対象外（勧告） |
運用を任せている場合
DockerイメージやKubernetesのHelmチャート、CloudBeesなどの配布版、委託先が運用するJenkinsは、中のJenkins本体の版が分かるように確かめます。担当者や提供元には、次の3点を聞くと話が早く進みます。
- 動いているJenkinsの版は何か（2.588・LTS 2.580.2以上か）
- いつ更新するか、いつ更新したか
- インターネットから届く状態か、匿名ユーザーに権限があるか
当サイトの視点：問題は個々の欠陥より、Jenkinsが持つ権限の大きさ
Jenkinsは、ソースコード、クラウドのキー、デプロイの権限を集めた場所になりがちです。そのため、本体の脆弱性は、ビルドや配備の仕組み全体の問題になりえます。更新に加えて、誰にどの権限を渡しているか、外から届くか、保存している認証情報が多すぎないかを定期的に見直してください。優先順位の付け方は 脆弱性の優先順位の付け方（CVSS・EPSS・KEV） で解説しています。
これまでの経緯
2026年10月28日
Jenkinsプロジェクトがセキュリティ勧告を公開。本体の15件を2.588・LTS 2.580.2で修正。CVE-2026-117612〜117626が登録される。11月3日までに
NVDが15件のうち13件の評価を済ませる（基本スコア5.4〜8.8）。2件は評価待ち。11月3日
当サイトが勧告、CVE・NVDの記録、KEVを確認。悪用の報告は見つからず、KEVには未掲載。
出典（公開記録）
2026年11月3日に確認しました。公式の勧告を先に並べています。
- Jenkinsプロジェクト「Jenkins Security Advisory 2026-10-28」（2026年10月28日） — jenkins.io
- CVE-2026-117612〜117626（2026年10月28日登録、Jenkinsプロジェクト） — cve.org（例：CVE-2026-117618） ／ nvd.nist.gov（例：CVE-2026-117618）
- 米CISA 悪用が確認された脆弱性の一覧（11月3日にこの15件の有無を確認、データの最終更新は10月30日） — cisa.gov ／ JSON
更新履歴
2026-11-03：初版。Jenkinsの勧告2026-10-28、CVE・NVDの記録にもとづく。11月3日時点で、悪用の報告は見つからず、KEVには未掲載。
次に読む
- 自前運用の開発基盤の更新：GitLabの緊急パッチ（CVE-2026-110264）
- 公表後の進め方：脆弱性が公表されたときの対応手順 ／ 脆弱性の優先順位の付け方（CVSS・EPSS・KEV）
- 備え：セキュリティの棚卸しチェックリスト ／ アカウントが不正に使われていないか確かめる方法
- 用語：RCE（リモートコード実行）とは ／ XSSとは ／ パストラバーサルとは ／ CVSSとは