Para: quem opera o Jenkins por conta própria (servidores próprios, VPS, Docker, Kubernetes), responsáveis pela infraestrutura de equipes que usam o Jenkins e quem deixa o Jenkins nas mãos de uma distribuição como a CloudBees ou de um prestador de serviços. Este artigo se baseia no aviso do projeto Jenkins e nos registros de CVE e NVD. Não cobre passos de ataque.
Em andamento: esta página será atualizada conforme mais informações forem publicadas
- Quem é afetado
quem opera o Jenkins por conta própria (servidores próprios, VPS, Docker, Kubernetes), responsáveis pela infraestrutura de equipes que usam o Jenkins e quem deixa o Jenkins nas mãos de uma distribuição como a CloudBees ou de um prestador de serviços.
- Confirmado até agoraVer a tabela ↓
- As falhas
- Versões afetadas
- Explorável sem autenticação
Mais 1
- Medidas paliativas
- Ainda não confirmado
- Qualquer relato de exploração (nenhum encontrado no que este site verificou)
- Se a CISA adicionará alguma das CVEs ao catálogo de Vulnerabilidades Exploradas Conhecidas (não constavam em 3 de novembro)
- A avaliação do NVD de duas das 15 (CVE-2026-117625 e 117626 aguardam análise)
- O que fazer agoraVer os passos ↓
- Confira a versão do seu Jenkins
- Atualize o controlador
- Coloque as instalações novas em primeiro lugar
Mais 3
- Revise a exposição e as permissões
- Depois de atualizar, revise usuários, administradores e agentes
- Troque as credenciais se algo parecer suspeito
- Onde verificar (fonte)Todas as fontes ↓
- Projeto Jenkins, «Jenkins Security Advisory 2026-10-28» (28 de outubro de 2026)
- Última verificação
- Em 3 de novembro de 2026 (JST)
Próximos avisos e o que verificamos
O aviso do Jenkins diz que 15 problemas foram corrigidos na versão semanal 2.588 e na LTS 2.580.2. Classifica 13 como altos e 2 como médios e não dá pontuações numéricas. O NVD analisou 13 deles, com pontuações base de 5,4 a 8,8.
O que fazer hoje
Confira a versão do seu Jenkins
Abra Manage Jenkins > About Jenkins, ou olhe a versão no canto inferior direito da página. Estão afetadas a semanal 2.587 e anteriores e a LTS 2.580.1 e anteriores. Com Docker, confira a versão dentro do contêiner em execução, e não a tag da imagem; uma tag móvel como lts aponta para conteúdo diferente antes e depois de você fazer pull. Em distribuições como a CloudBees, ou se um prestador de serviços opera o Jenkins, leia o aviso do fornecedor para saber a versão corrigida e pergunte ao responsável.
Atualize o controlador
Atualize para a semanal 2.588 ou posterior, ou para a LTS 2.580.2 ou posterior. Antes, faça backup do JENKINS_HOME, que guarda a configuração de jobs e plugins, fora do servidor. Depois confira se o login, a execução de um job e a conexão dos agentes funcionam.
Coloque as instalações novas em primeiro lugar
A CVE-2026-117618 (SECURITY-4122) permite a um usuário não autenticado criar uma conta de administrador durante a configuração inicial. O NVD a pontua com 8,1 (complexidade do ataque alta). Se você está configurando um Jenkins novo acessível pela internet, ou está prestes a fazê-lo, faça a configuração na versão corrigida e em um lugar não acessível de fora.
Revise a exposição e as permissões
Por padrão, o Jenkins deve ficar em uma rede interna ou dedicada, não diretamente na internet. Se precisar ser acessível, coloque-o atrás de uma VPN ou de um proxy com autenticação. Verifique também se há configurações deixadas em «Logged-in users can do anything» e usuários anônimos com Overall/Read. Vários dos 15 problemas do aviso dependem de Overall/Read.
Depois de atualizar, revise usuários, administradores e agentes
Percorra a lista de usuários, as contas com direitos de administrador e a configuração dos nós (agentes) em busca de algo que você não reconheça. Seja mais minucioso se pessoas com permissões tiveram acesso enquanto você estava sem o patch. Se aparecer um aviso de «Manage Old Data» que você não reconhece, não aja sobre ele.
Troque as credenciais se algo parecer suspeito
Se encontrar uma conta ou configuração suspeita, troque as senhas de administradores e usuários, os tokens de API e as credenciais armazenadas no Jenkins (chaves de nuvem, chaves de repositório). Como proceder está em como verificar se uma conta foi usada sem permissão e em o guia de resposta a vulnerabilidades.
Novo e exposto à internet
Prioridade máxima. Conclua a configuração na versão corrigida, fora da internet
Muitas pessoas com permissões
Atualize logo e depois revise usuários, administradores e agentes
Apenas interno, poucas permissões
Atualize conforme o cronograma e revise as configurações ao mesmo tempo
O que o aviso diz
O projeto Jenkins publicou «Jenkins Security Advisory 2026-10-28» em 28 de outubro de 2026. Ele cobre o núcleo do Jenkins e nenhum plugin.
- Versões afetadas
- Semanal 2.587 e anteriores, LTS 2.580.1 e anteriores. O aviso diz que todas as versões anteriores são consideradas afetadas, salvo indicação em contrário
- Versões corrigidas
- Semanal 2.588, LTS 2.580.2
- Número e gravidade
- 15 problemas. O aviso classifica 13 como altos e 2 como médios (CVE-2026-117625 e 117626). Não dá pontuações numéricas
- Medidas paliativas
- Ajustes para desligar as novas verificações se a atualização causar problemas (SECURITY-4125, 4225) e aplicação obrigatória da Política de Segurança de Conteúdo na 2.539+ e na LTS 2.541.1+ (para a SECURITY-4225 mitiga o «impacto conhecido», e outros XSS ou tipos de vulnerabilidade ainda podem ser possíveis; para a SECURITY-4229 e a 4232 mitiga «esta vulnerabilidade»). Nenhuma medida é indicada para as demais
- Exploração
- O aviso não menciona exploração
- Publicação
- As 15 foram publicadas em 28 de outubro de 2026 pelo projeto Jenkins como CNA. Os intervalos de versões coincidem com o aviso
- Avaliação do NVD (em 3 de novembro)
- 13 estão analisadas, com pontuações base CVSS v3.1 de 5,4 a 8,8. As CVE-2026-117625 e 117626 aguardam análise. O «alto» e o «médio» do aviso e as pontuações do NVD vêm de avaliadores diferentes, então nem sempre coincidem
Os 15 problemas, agrupados por impacto
A coluna de permissões é o que o aviso diz que um atacante precisa. A coluna NVD é a pontuação base CVSS v3.1 do NVD.
| Impacto | CVE (SECURITY-ID) | Gravidade do aviso | O que o atacante precisa (aviso) | NVD |
|---|---|---|---|---|
| Código pode ser executado no controlador | CVE-2026-117612 (4125) | Alta | Overall/Read mais uma conta de usuário, ou permissão para enviar com POST o config.xml | 8,8 |
| CVE-2026-117614 (4123) | Alta | Agent/Configure | 7,2 | |
| CVE-2026-117616 (4188) | Alta | Overall/Read | 8,8 | |
| CVE-2026-117617 (4248) | Alta | Item/Configure | 8,1 | |
| Leitura arbitrária de arquivos (o aviso diz que pode levar à execução de código) | CVE-2026-117615 (4187) | Alta | Item/Create e Item/Configure | 6,5 |
| Conta de administrador criada ou assumida | CVE-2026-117618 (4122) | Alta | Nenhuma (não autenticado), durante a configuração inicial | 8,1 |
| CVE-2026-117620 (4226) | Alta | Overall/Read; uma ação de um administrador a aciona | 8,8 | |
| Uma sessão sobrevive à sua credencial | CVE-2026-117619 (4189) | Alta | Posse do token de API de um usuário | 8,1 |
| Criação de registros de usuário (impacto confirmado limitado) | CVE-2026-117624 (4243) | Alta | Não informado; não é possível criar contas capazes de fazer login | 8,8 |
| Cross-site scripting (XSS) | CVE-2026-117613 (4225) | Alta | Item/Configure | 5,4 |
| CVE-2026-117623 (4229) | Alta | Overall/Read | 5,4 | |
| CVE-2026-117621 (4232) | Alta | Controle de um processo de agente | 6,1 | |
| CVE-2026-117622 (4249) | Alta | Controle de um processo de agente | 6,1 | |
| Divulgação limitada de informações | CVE-2026-117625 (4206) | Média | Overall/Read (as configurações do proxy HTTP ficam visíveis) | Aguardando análise |
| CVE-2026-117626 (4237) | Média | Overall/Read (nomes, tamanhos e datas de modificação de arquivos ficam visíveis); com Item/Workspace, também os nomes dos jobs que têm um workspace no mesmo agente | Aguardando análise |
Uma observação para ler isto: algumas pontuações do NVD são mais baixas que o «alto» do aviso. São avaliações separadas e nenhuma está simplesmente errada. A posição deste site é atualizar logo mesmo quando uma permissão é exigida, porque o Jenkins costuma guardar segredos e direitos de implantação.
Exploração
Em 3 de novembro de 2026 este site não encontrou nenhum relato confiável de que essas vulnerabilidades tenham sido exploradas. O aviso do Jenkins também não menciona exploração.
- Aviso do Jenkins
- Não menciona exploração
- KEV
- Nenhuma das CVE-2026-117612 a 117626 está no catálogo KEV da CISA (última atualização em 30 de outubro). O KEV lista seis vulnerabilidades anteriores do Jenkins e de produtos relacionados, como plugins
A opinião deste site: nenhum relato não é o mesmo que estar seguro. A correção tem apenas alguns dias e o quadro pode mudar. O Jenkins é um produto que já foi explorado antes, então atualize sem esperar relatos as instâncias expostas à internet e com permissões amplas.
O que se sabe e o que não se sabe
| Item | O que foi publicado | Situação |
|---|---|---|
| As falhas | 15 no núcleo (13 altas, 2 médias), corrigidas na 2.588 e na LTS 2.580.2 (aviso do Jenkins) | Confirmado (Jenkins) |
| Versões afetadas | Semanal 2.587 e anteriores, LTS 2.580.1 e anteriores (aviso, registros de CVE) | Confirmado (Jenkins) |
| Explorável sem autenticação | Apenas a CVE-2026-117618, durante a configuração inicial (aviso) | Confirmado (Jenkins) |
| Medidas paliativas | Apenas ajustes para problemas pós-atualização e CSP obrigatória para XSS; nenhuma para o restante | Confirmado (Jenkins) |
| Pontuações numéricas | Nenhuma no aviso; o NVD analisou 13 (5,4 a 8,8), 2 aguardando | Parcial (NVD) |
| Exploração | Nenhum relato encontrado no que este site verificou | Nenhum relato |
| CISA KEV | Não listadas em 3 de novembro | Não listadas |
| Plugins | Este aviso cobre apenas o núcleo | Não cobertos (aviso) |
Se outra pessoa opera o Jenkins para você
Em imagens Docker, charts Helm do Kubernetes, distribuições como a CloudBees e Jenkins operado por um prestador de serviços, garanta que você consiga ver a versão do núcleo do Jenkins que há dentro. Três perguntas colocam as coisas em movimento:
- Que versão do Jenkins está em execução (2.588 ou posterior, ou LTS 2.580.2 ou posterior)?
- Quando será atualizado, ou quando foi?
- Está acessível pela internet e os usuários anônimos têm alguma permissão?
A opinião deste site: o problema é menos cada falha e mais o quanto de poder o Jenkins concentra
O Jenkins costuma ser onde se encontram o código-fonte, as chaves de nuvem e os direitos de implantação. Uma falha no núcleo pode, portanto, virar um problema para todo o seu pipeline de build e release. Além de atualizar, revise regularmente quem tem qual permissão, se o Jenkins é acessível de fora e quantas credenciais ele guarda. Para saber como priorizar, veja como priorizar vulnerabilidades (CVSS, EPSS, KEV).
Cronologia
28 de outubro de 2026
O projeto Jenkins publica seu aviso de segurança. 15 problemas do núcleo são corrigidos na 2.588 e na LTS 2.580.2, e as CVE-2026-117612 a 117626 são publicadas.Até 3 de novembro
O NVD analisa 13 das 15 (pontuações base de 5,4 a 8,8); 2 aguardam análise.3 de novembro
Este site verifica o aviso, os registros de CVE e NVD e o KEV. Nenhum relato de exploração é encontrado, e nenhuma das CVEs está no KEV.
Fontes (registro público)
Verificadas em 3 de novembro de 2026. O aviso oficial vem primeiro.
- Projeto Jenkins, «Jenkins Security Advisory 2026-10-28» (28 de outubro de 2026) — jenkins.io
- CVE-2026-117612 a 117626 (publicadas em 28 de outubro de 2026 pelo projeto Jenkins) — cve.org (exemplo: CVE-2026-117618) / nvd.nist.gov (exemplo: CVE-2026-117618)
- Catálogo de Vulnerabilidades Exploradas Conhecidas da CISA (verificado em 3 de novembro para estas 15 CVEs; dados atualizados pela última vez em 30 de outubro) — cisa.gov / JSON
Histórico de atualizações
2026-11-03: Primeira versão, com base no aviso do Jenkins 2026-10-28 e nos registros de CVE e NVD. Em 3 de novembro nenhum relato de exploração foi encontrado e nenhuma das CVEs está no KEV.
Leia a seguir
- Atualizar uma plataforma de desenvolvimento self-hosted: o patch de emergência do GitLab (CVE-2026-110264)
- Depois da divulgação: o guia de resposta a vulnerabilidades / como priorizar vulnerabilidades (CVSS, EPSS, KEV)
- Preparação: Checklist de inventário de segurança / Como verificar se uma conta foi usada sem permissão
- Termos: O que é RCE (execução remota de código) / O que é XSS / O que é path traversal / O que é CVSS