2026-11-03
Jenkins 2.588과 LTS 2.580.2에서 취약점 15건 수정(CVE-2026-117612부터 117626까지): 버전 확인과 업데이트 후 점검할 것
2026년 10월 28일 Jenkins 프로젝트는 주간 릴리스 2.588과 LTS 2.580.2에서 Jenkins 코어의 취약점 15건(CVE-2026-117612부터 CVE-2026-117626까지)을 수정하는 보안 권고를 공개했습니다. 주간 2.587 이하와 LTS 2.580.1 이하가 영향을 받습니다. 권고는 13건을 High, 2건을 Medium으로 평가합니다. 대부분 Overall/Read나 Item/Configure 같은 어떤 권한이 필요합니다(설정에 따라 익명 사용자에게 Overall/Read를 주는 경우도 있습니다). 예외는 CVE-2026-117618로, 초기 설정 마법사의 경쟁 상태(race condition)를 이용해 인증되지 않은 사용자가 초기 설정 중에 관리자 계정을 만들 수 있게 하므로, 인터넷에 노출된 새로 설치한 Jenkins의 우선순위가 올라갑니다. 권고가 제시하는 우회책은 업데이트로 문제가 생길 때 새 검사를 끄는 설정과, 알려진 영향을 제한하는 XSS 3건에 대한 Content Security Policy 강제뿐이며, 해결책은 업데이트입니다. 이 사이트는 11월 3일 기준 악용에 대한 신뢰할 만한 보고를 찾지 못했고, 15건 모두 CISA의 KEV(Known Exploited Vulnerabilities) 카탈로그에 없습니다. 이 사이트의 결론: Jenkins 버전을 확인하고 2.588(LTS 2.580.2)로 업데이트하며, Jenkins를 인터넷에 노출하지 말고 익명 사용자에게 권한을 주지 않은 뒤, 업데이트 후 사용자, 관리자, 에이전트를 점검하십시오.