2026-11-03
Jenkins 2.588・LTS 2.580.2 の脆弱性15件（CVE-2026-117612〜117626）｜影響する版の確認と、更新後に見直すこと
Jenkinsプロジェクトは2026年10月28日にセキュリティ勧告を公開し、本体の脆弱性15件（CVE-2026-117612〜CVE-2026-117626）を、週次版2.588とLTS 2.580.2で修正した。影響を受けるのは、週次版2.587以前とLTS 2.580.1以前。勧告の深刻度は高が13件、中が2件。多くは、Overall/ReadやItem/Configureなど何らかの権限が前提になる（Overall/Readを匿名に許している設定もある）。例外は、初期設定（セットアップウィザード）の最中に認証なしで管理者アカウントを作られうる1件（CVE-2026-117618）で、新しく立てたJenkinsをインターネットに公開しているときは優先度が上がる。勧告に載る回避策は、更新で不具合が出たときの設定と、XSSの既知の影響を和らげるCSPの強制にとどまり、更新が基本の対処になる。悪用の報告は、確認した範囲では見つかっていない。11月3日時点で、米CISAのKEVにこの15件は載っていない。当サイトの結論：Jenkinsの版を確かめ、2.588（LTSは2.580.2）に更新し、インターネットに出さない・匿名に権限を与えない設定を見直し、更新後に利用者・管理者・エージェントを点検する。