대상 독자: Jenkins를 직접 운영하는 사람(자체 서버, VPS, Docker, Kubernetes), Jenkins를 쓰는 팀의 인프라 담당자, CloudBees 같은 배포판이나 외주 업체에 Jenkins를 맡긴 사람. 이 글은 Jenkins 프로젝트의 권고와 CVE 및 NVD 기록을 바탕으로 합니다. 공격 절차는 다루지 않습니다.
진행 중: 추가 발표가 나오는 대로 이 글을 업데이트합니다
- 대상
Jenkins를 직접 운영하는 사람(자체 서버, VPS, Docker, Kubernetes), Jenkins를 쓰는 팀의 인프라 담당자, CloudBees 같은 배포판이나 외주 업체에 Jenkins를 맡긴 사람.
- 확인된 영향 범위표 보기 ↓
- 취약점
- 영향 버전
- 인증 없이 악용 가능
1개 더 보기
- 우회책
- 아직 확인되지 않은 사항
- 악용 보고(이 사이트가 확인한 범위에서는 없음)
- CISA가 이 CVE를 Known Exploited Vulnerabilities 카탈로그에 추가하는지 여부(11월 3일 기준 등재되지 않음)
- 15건 중 2건에 대한 NVD의 평가(CVE-2026-117625와 117626은 분석 대기 중)
- 지금 할 일절차 보기 ↓
- Jenkins 버전 확인
- 컨트롤러 업데이트
- 새로 설치한 인스턴스를 먼저
3개 더 보기
- 노출과 권한 점검
- 업데이트 후 사용자, 관리자, 에이전트 점검
- 수상한 점이 있으면 자격 증명 교체
- 마지막 확인
- 2026년 11월 3일(JST) 기준
후속 발표 예정과 확인 기록
Jenkins 권고는 주간 2.588과 LTS 2.580.2에서 15건이 수정된다고 밝힙니다. 13건을 High, 2건을 Medium으로 평가하며 수치 점수는 제시하지 않습니다. NVD는 그중 13건을 분석했으며 기본 점수는 5.4부터 8.8까지입니다.
오늘 해야 할 일
Jenkins 버전 확인
Manage Jenkins > About Jenkins를 열거나 페이지 오른쪽 아래의 버전을 보십시오. 주간 2.587 이하와 LTS 2.580.1 이하가 영향을 받습니다. Docker라면 이미지 태그가 아니라 실행 중인 컨테이너 안의 버전을 확인하십시오. lts 같이 움직이는 태그는 pull 전후로 가리키는 내용이 다릅니다. CloudBees 같은 배포판이나 외주 업체가 운영하는 Jenkins라면 제공자의 공지에서 수정 버전을 확인하고 담당자에게 물어보십시오.
컨트롤러 업데이트
주간 2.588 이상 또는 LTS 2.580.2 이상으로 업데이트하십시오. 먼저 작업과 플러그인 설정이 들어 있는 JENKINS_HOME을 서버 밖에 백업하십시오. 업데이트 후에는 로그인, 작업 실행, 에이전트 연결이 모두 되는지 확인하십시오.
새로 설치한 인스턴스를 먼저
CVE-2026-117618(SECURITY-4122)은 인증되지 않은 사용자가 초기 설정 중에 관리자 계정을 만들 수 있게 합니다. NVD는 8.1(공격 복잡도 High)로 평가합니다. 인터넷에서 접근할 수 있는 새 Jenkins를 설정하는 중이거나 곧 설정할 예정이라면, 수정된 버전으로 외부에서 접근할 수 없는 곳에서 설정을 진행하십시오.
노출과 권한 점검
기본적으로 Jenkins는 인터넷에 직접 두지 않고 내부 네트워크나 전용 네트워크에 두는 것이 맞습니다. 외부에서 접근해야 한다면 VPN이나 인증 프록시 뒤에 두십시오. 또한 Logged-in users can do anything 상태로 남아 있는 설정이나 익명 사용자에게 Overall/Read를 준 설정이 없는지 확인하십시오. 권고의 15건 중 여러 건이 Overall/Read에 의존합니다.
업데이트 후 사용자, 관리자, 에이전트 점검
사용자 목록, 관리자 권한을 가진 계정, 노드(에이전트) 설정에서 모르는 것이 없는지 훑어보십시오. 패치하지 않은 동안 권한을 가진 사람이 접근할 수 있었다면 특히 꼼꼼히 확인하십시오. 모르는 Manage Old Data 경고가 나타나더라도 그에 따라 조작하지 마십시오.
수상한 점이 있으면 자격 증명 교체
수상한 계정이나 설정을 발견하면 관리자와 사용자의 비밀번호, API 토큰, Jenkins에 저장된 자격 증명(클라우드 키, 저장소 키)을 교체하십시오. 진행 방법은 내 계정에 누군가 접속했는지 확인하는 법과 취약점 대응 플레이북에 정리되어 있습니다.
새로 설치, 인터넷에 노출
최우선. 수정된 버전으로, 인터넷에서 접근할 수 없는 곳에서 설정을 마치십시오
권한을 가진 사람이 많음
빠르게 업데이트한 뒤 사용자, 관리자, 에이전트를 점검하십시오
내부 전용, 권한이 적음
일정에 맞춰 업데이트하고 설정도 함께 점검하십시오
권고가 밝힌 내용
Jenkins 프로젝트는 2026년 10월 28일 Jenkins Security Advisory 2026-10-28을 공개했습니다. 대상은 Jenkins 코어이며 플러그인은 포함하지 않습니다.
- 영향 버전
- 주간 2.587 이하, LTS 2.580.1 이하. 권고는 별도 표시가 없는 한 이전 버전이 모두 영향을 받는 것으로 간주한다고 밝힘
- 수정 버전
- 주간 2.588, LTS 2.580.2
- 건수와 심각도
- 15건. 권고는 High 13건, Medium 2건(CVE-2026-117625와 117626)으로 평가. 수치 점수는 제시하지 않음
- 우회책
- 업데이트로 문제가 생길 때 새 검사를 끄는 설정(SECURITY-4125, 4225)과, 2.539 이상 및 LTS 2.541.1 이상에서의 Content Security Policy 강제(SECURITY-4225는 ‘알려진 영향’을 완화하며 다른 XSS나 취약점 유형이 가능할 수도 있음, SECURITY-4229와 4232는 ‘이 취약점’을 완화). 나머지는 우회책 없음
- 악용
- 권고는 악용을 언급하지 않음
- 공개
- 15건 모두 CNA인 Jenkins 프로젝트가 2026년 10월 28일 공개. 버전 범위는 권고와 일치
- NVD 평가(11월 3일 기준)
- 13건이 분석되었으며 CVSS v3.1 기본 점수는 5.4부터 8.8까지. CVE-2026-117625와 117626은 분석 대기 중. 권고의 High와 Medium은 NVD의 점수와 평가 주체가 달라 항상 일치하지는 않음
15건을 영향별로 정리
권한 열은 권고가 밝힌 공격자에게 필요한 조건입니다. NVD 열은 NVD의 CVSS v3.1 기본 점수입니다.
| 영향 | CVE (SECURITY-ID) | 권고의 심각도 | 공격자에게 필요한 것(권고) | NVD |
|---|---|---|---|---|
| 컨트롤러에서 코드가 실행될 수 있음 | CVE-2026-117612 (4125) | High | Overall/Read와 사용자 계정, 또는 config.xml을 POST할 권한 | 8.8 |
| CVE-2026-117614 (4123) | High | Agent/Configure | 7.2 | |
| CVE-2026-117616 (4188) | High | Overall/Read | 8.8 | |
| CVE-2026-117617 (4248) | High | Item/Configure | 8.1 | |
| 임의 파일 읽기(권고는 코드 실행으로 이어질 수 있다고 밝힘) | CVE-2026-117615 (4187) | High | Item/Create와 Item/Configure | 6.5 |
| 관리자 계정 생성 또는 탈취 | CVE-2026-117618 (4122) | High | 없음(인증 불필요), 초기 설정 중 | 8.1 |
| CVE-2026-117620 (4226) | High | Overall/Read. 관리자의 조작이 계기가 됨 | 8.8 | |
| 자격 증명보다 세션이 오래 살아남음 | CVE-2026-117619 (4189) | High | 사용자의 API 토큰 보유 | 8.1 |
| 사용자 레코드 생성(영향은 제한적이라고 확인됨) | CVE-2026-117624 (4243) | High | 명시되지 않음. 로그인 가능한 계정은 만들 수 없음 | 8.8 |
| 크로스 사이트 스크립팅(XSS) | CVE-2026-117613 (4225) | High | Item/Configure | 5.4 |
| CVE-2026-117623 (4229) | High | Overall/Read | 5.4 | |
| CVE-2026-117621 (4232) | High | 에이전트 프로세스의 제어 | 6.1 | |
| CVE-2026-117622 (4249) | High | 에이전트 프로세스의 제어 | 6.1 | |
| 제한적인 정보 노출 | CVE-2026-117625 (4206) | Medium | Overall/Read(HTTP 프록시 설정이 보임) | 분석 대기 중 |
| CVE-2026-117626 (4237) | Medium | Overall/Read(파일 이름, 크기, 수정 시각이 보임). Item/Workspace가 있으면 같은 에이전트에 워크스페이스가 있는 작업의 이름도 보임 | 분석 대기 중 |
읽는 방법에 대한 주의: NVD 점수 중에는 권고의 High보다 낮은 것이 있습니다. 둘은 별개의 평가이며 어느 쪽이 틀렸다는 뜻은 아닙니다. 이 사이트의 입장은 권한이 필요하더라도 서둘러 업데이트하는 것입니다. Jenkins에는 보통 비밀 정보와 배포 권한이 모여 있기 때문입니다.
악용 여부
2026년 11월 3일 기준 이 사이트는 이 취약점들이 악용되었다는 신뢰할 만한 보고를 찾지 못했습니다. Jenkins 권고도 악용을 언급하지 않습니다.
- Jenkins 권고
- 악용 언급 없음
- KEV
- CVE-2026-117612부터 117626까지 중 CISA의 KEV 카탈로그에 있는 것은 없음(마지막 업데이트 10월 30일). KEV에는 플러그인 등 Jenkins와 관련 제품의 과거 취약점 6건이 있음
이 사이트의 견해: 보고가 없다는 것이 안전하다는 뜻은 아닙니다. 수정이 나온 지 며칠밖에 되지 않았으며 상황은 바뀔 수 있습니다. Jenkins는 과거에 악용된 적이 있는 제품이므로, 인터넷에 노출된 인스턴스와 권한이 넓게 부여된 인스턴스는 보고를 기다리지 말고 업데이트하십시오.
알려진 것과 알려지지 않은 것
| 항목 | 발표된 내용 | 상태 |
|---|---|---|
| 취약점 | 코어에서 15건(High 13건, Medium 2건), 2.588과 LTS 2.580.2에서 수정(Jenkins 권고) | 확인됨(Jenkins) |
| 영향 버전 | 주간 2.587 이하, LTS 2.580.1 이하(권고, CVE 기록) | 확인됨(Jenkins) |
| 인증 없이 악용 가능 | 초기 설정 중의 CVE-2026-117618뿐(권고) | 확인됨(Jenkins) |
| 우회책 | 업데이트 후 문제에 대한 설정과 XSS에 대한 CSP 강제뿐이며, 나머지는 없음 | 확인됨(Jenkins) |
| 수치 점수 | 권고에는 없음. NVD는 13건을 분석(5.4–8.8), 2건 대기 중 | 일부(NVD) |
| 악용 | 이 사이트가 확인한 범위에서는 보고 없음 | 보고 없음 |
| CISA KEV | 11월 3일 기준 등재되지 않음 | 등재되지 않음 |
| 플러그인 | 이 권고는 코어만 다룸 | 대상 아님(권고) |
다른 사람이 Jenkins를 운영해 준다면
Docker 이미지, Kubernetes Helm 차트, CloudBees 같은 배포판, 외주 업체가 운영하는 Jenkins라면 안에 들어 있는 Jenkins 코어 버전을 확인할 수 있어야 합니다. 다음 세 가지를 물어보면 일이 진행됩니다.
- 지금 실행 중인 Jenkins는 어느 버전인가(2.588 이상 또는 LTS 2.580.2 이상)?
- 언제 업데이트할 예정인가, 또는 언제 업데이트했는가?
- 인터넷에서 접근할 수 있는가, 그리고 익명 사용자에게 권한이 있는가?
이 사이트의 견해: 문제는 각 취약점보다 Jenkins가 쥐고 있는 권한의 크기입니다
Jenkins는 소스 코드, 클라우드 키, 배포 권한이 만나는 곳인 경우가 많습니다. 그래서 코어의 결함이 빌드와 릴리스 파이프라인 전체의 문제가 될 수 있습니다. 업데이트와 함께, 누가 어떤 권한을 가지고 있는지, Jenkins가 외부에서 접근 가능한지, 얼마나 많은 자격 증명이 저장되어 있는지를 정기적으로 점검하십시오. 우선순위를 정하는 방법은 어떤 CVE부터 고칠까 — CVSS·EPSS·KEV를 보십시오.
타임라인
10월 28일
Jenkins 프로젝트가 보안 권고를 공개했습니다. 코어의 15건이 2.588과 LTS 2.580.2에서 수정되었고, CVE-2026-117612부터 117626까지가 공개되었습니다.11월 3일까지
NVD가 15건 중 13건을 분석했습니다(기본 점수 5.4–8.8). 2건은 분석 대기 중입니다.11월 3일
이 사이트가 권고, CVE 및 NVD 기록, KEV를 확인했습니다. 악용 보고는 찾지 못했고, 어느 CVE도 KEV에 없습니다.
출처 (공개 기록)
2026년 11월 3일에 확인했습니다. 공식 권고를 가장 먼저 둡니다.
- Jenkins 프로젝트, "Jenkins Security Advisory 2026-10-28"(2026년 10월 28일) — jenkins.io
- CVE-2026-117612부터 117626까지(Jenkins 프로젝트가 2026년 10월 28일 공개) — cve.org (예: CVE-2026-117618) / nvd.nist.gov (예: CVE-2026-117618)
- CISA Known Exploited Vulnerabilities 카탈로그(이 15개 CVE에 대해 11월 3일 확인, 데이터 마지막 업데이트 10월 30일) — cisa.gov / JSON
업데이트 기록
2026-11-03: Jenkins 권고 2026-10-28과 CVE 및 NVD 기록을 바탕으로 한 첫 버전. 11월 3일 기준 악용 보고는 찾지 못했고 어느 CVE도 KEV에 없습니다.
다음으로 읽을 글
- 셀프 호스팅 개발 플랫폼 업데이트: GitLab 긴급 패치(CVE-2026-110264)
- 공개 이후: 취약점 대응 플레이북 / 어떤 CVE부터 고칠까 (CVSS, EPSS, KEV)
- 준비: 보안 인벤토리 점검 / 내 계정에 누군가 접속했는지 확인하는 법
- 용어: RCE(원격 코드 실행)란 무엇인가 / XSS란 무엇인가 / 경로 탐색(path traversal)이란 무엇인가 / CVSS란 무엇인가