2026-11-03
Jenkins 2.588 e LTS 2.580.2 corrigem 15 falhas (CVE-2026-117612 a 117626): confira sua versão e o que revisar após atualizar
Em 28 de outubro de 2026 o projeto Jenkins publicou um aviso de segurança corrigindo 15 vulnerabilidades no núcleo do Jenkins (CVE-2026-117612 a CVE-2026-117626) na versão semanal 2.588 e na LTS 2.580.2. Estão afetadas a semanal 2.587 e anteriores e a LTS 2.580.1 e anteriores. O aviso classifica 13 como altas e 2 como médias. A maioria exige alguma permissão, como Overall/Read ou Item/Configure (algumas configurações concedem Overall/Read a usuários anônimos). A exceção é a CVE-2026-117618, uma condição de corrida no assistente de configuração que permite a um usuário não autenticado criar uma conta de administrador durante a configuração inicial, o que aumenta a prioridade das instalações novas do Jenkins expostas à internet. As únicas medidas que o aviso lista são ajustes para desligar as novas verificações se a atualização causar problemas e a aplicação obrigatória da Política de Segurança de Conteúdo, que limita o impacto conhecido de três falhas XSS; a correção é atualizar. Este site não encontrou nenhum relato confiável de exploração em 3 de novembro, e nenhuma das 15 está no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA. A conclusão deste site: confirme a versão do seu Jenkins, atualize para a 2.588 (LTS 2.580.2), mantenha o Jenkins fora da internet e os usuários anônimos sem permissões, e revise usuários, administradores e agentes depois de atualizar.