Для кого: те, кто сам запускает Jenkins (собственные серверы, VPS, Docker, Kubernetes), владельцы инфраструктуры в командах, использующих Jenkins, и те, кто доверил Jenkins дистрибутиву вроде CloudBees или подрядчику. Статья основана на уведомлении проекта Jenkins и записях CVE и NVD. Шаги атаки здесь не описываются.
Ситуация развивается: страница будет обновляться по мере новых публикаций
- Кого это касается
те, кто сам запускает Jenkins (собственные серверы, VPS, Docker, Kubernetes), владельцы инфраструктуры в командах, использующих Jenkins, и те, кто доверил Jenkins дистрибутиву вроде CloudBees или подрядчику.
- ПодтвержденоСмотреть таблицу ↓
- Уязвимости
- Затронутые версии
- Эксплуатация без аутентификации
Ещё 1
- Обходные меры
- Пока не подтверждено
- Сообщения об эксплуатации (в том, что проверил этот сайт, не найдено)
- Добавит ли CISA какие-либо из CVE в каталог известных эксплуатируемых уязвимостей (на 3 ноября не внесены)
- Оценка NVD для двух из 15 (CVE-2026-117625 и 117626 ожидают анализа)
- Что сделать сейчасСмотреть шаги ↓
- Проверьте версию Jenkins
- Обновите контроллер
- Новые установки — в первую очередь
Ещё 3
- Проверьте доступность и права
- После обновления проверьте пользователей, администраторов и агентов
- Замените учётные данные, если что-то выглядит подозрительно
- Где проверить (источник)Все источники ↓
- Проект Jenkins, «Jenkins Security Advisory 2026-10-28» (28 октября 2026 года)
- Последняя проверка
- На 3 ноября 2026 года (JST)
Планы обновлений и что мы проверили
Уведомление Jenkins сообщает, что 15 проблем исправлены в еженедельной 2.588 и LTS 2.580.2. Оно оценивает 13 как High и 2 как Medium и не приводит числовых оценок. NVD проанализировал 13 из них, базовые оценки — от 5,4 до 8,8.
Что сделать сегодня
Проверьте версию Jenkins
Откройте Manage Jenkins > About Jenkins или посмотрите версию в правом нижнем углу страницы. Затронуты еженедельные 2.587 и ниже и LTS 2.580.1 и ниже. В Docker проверяйте версию внутри работающего контейнера, а не тег образа: плавающий тег вроде lts до и после pull указывает на разное содержимое. Для дистрибутивов вроде CloudBees или Jenkins, который ведёт подрядчик, прочтите уведомление поставщика об исправленной версии и спросите ответственного.
Обновите контроллер
Обновитесь до еженедельной 2.588 или новее либо до LTS 2.580.2 или новее. Сначала сделайте резервную копию JENKINS_HOME, где хранятся настройки заданий и плагинов, за пределами сервера. После обновления проверьте вход, запуск задания и подключение агентов.
Новые установки — в первую очередь
CVE-2026-117618 (SECURITY-4122) позволяет неаутентифицированному пользователю создать учётную запись администратора во время первоначальной настройки. NVD оценивает её в 8,1 (сложность атаки High). Если вы настраиваете новый Jenkins, доступный из интернета, или собираетесь это делать, проводите настройку на исправленной версии в месте, недоступном извне.
Проверьте доступность и права
По умолчанию Jenkins место во внутренней или выделенной сети, а не напрямую в интернете. Если доступ извне необходим, поставьте его за VPN или аутентифицирующий прокси. Проверьте также, нет ли конфигураций с Logged-in users can do anything и анонимных пользователей с Overall/Read. Несколько из 15 проблем в уведомлении зависят от Overall/Read.
После обновления проверьте пользователей, администраторов и агентов
Просмотрите список пользователей, учётные записи с правами администратора и конфигурацию узлов (агентов) на предмет незнакомого. Будьте особенно внимательны, если, пока обновления не было, к Jenkins имели доступ люди с правами. Если появилось незнакомое предупреждение Manage Old Data, не действуйте по нему.
Замените учётные данные, если что-то выглядит подозрительно
Если вы нашли подозрительную учётную запись или настройку, замените пароли администраторов и пользователей, API-токены и учётные данные, хранящиеся в Jenkins (облачные ключи, ключи репозиториев). Как действовать, описано в статьях как проверить, не заходил ли кто-то в ваш аккаунт и план реагирования на уязвимости.
Новый и доступный из интернета
Наивысший приоритет. Завершите настройку на исправленной версии, вне интернета
Много людей с правами
Обновитесь скоро, затем проверьте пользователей, администраторов и агентов
Только внутри, мало прав
Обновитесь по графику и заодно проверьте настройки
Что говорится в уведомлении
28 октября 2026 года проект Jenkins опубликовал «Jenkins Security Advisory 2026-10-28». Оно охватывает ядро Jenkins и не затрагивает плагины.
- Затронутые версии
- Еженедельные 2.587 и ниже, LTS 2.580.1 и ниже. Уведомление сообщает, что все более ранние версии считаются затронутыми, если не указано иное
- Исправленные версии
- Еженедельная 2.588, LTS 2.580.2
- Количество и серьёзность
- 15 проблем. Уведомление оценивает 13 как High и 2 как Medium (CVE-2026-117625 и 117626). Числовых оценок нет
- Обходные меры
- Настройки для отключения новых проверок, если обновление вызывает проблемы (SECURITY-4125, 4225), и принудительная Content Security Policy в 2.539+ и LTS 2.541.1+ (для SECURITY-4225 она смягчает ‘известное воздействие’, при этом другие XSS или типы уязвимостей всё же могут быть возможны; для SECURITY-4229 и 4232 смягчает ‘эту уязвимость’). Для остальных обходных мер не даётся
- Эксплуатация
- В уведомлении об эксплуатации не говорится
- Опубликовано
- Все 15 опубликованы 28 октября 2026 года проектом Jenkins как CNA. Диапазоны версий совпадают с уведомлением
- Оценка NVD (на 3 ноября)
- 13 проанализированы, базовые оценки CVSS v3.1 — от 5,4 до 8,8. CVE-2026-117625 и 117626 ожидают анализа. High и Medium в уведомлении и оценки NVD сделаны разными оценщиками, поэтому не всегда совпадают
15 проблем, сгруппированных по воздействию
В столбце прав указано то, что, по уведомлению, нужно атакующему. В столбце NVD — базовая оценка CVSS v3.1 по версии NVD.
| Воздействие | CVE (SECURITY-ID) | Серьёзность по уведомлению | Что нужно атакующему (уведомление) | NVD |
|---|---|---|---|---|
| Возможно выполнение кода на контроллере | CVE-2026-117612 (4125) | High | Overall/Read плюс учётная запись пользователя, либо право POST для config.xml | 8,8 |
| CVE-2026-117614 (4123) | High | Agent/Configure | 7,2 | |
| CVE-2026-117616 (4188) | High | Overall/Read | 8,8 | |
| CVE-2026-117617 (4248) | High | Item/Configure | 8,1 | |
| Чтение произвольных файлов (по уведомлению, может привести к выполнению кода) | CVE-2026-117615 (4187) | High | Item/Create и Item/Configure | 6,5 |
| Создание или захват учётной записи администратора | CVE-2026-117618 (4122) | High | Ничего (без аутентификации), во время первоначальной настройки | 8,1 |
| CVE-2026-117620 (4226) | High | Overall/Read; запускается действием администратора | 8,8 | |
| Сеанс переживает свои учётные данные | CVE-2026-117619 (4189) | High | Владение API-токеном пользователя | 8,1 |
| Создание записей пользователей (подтверждено, что воздействие ограничено) | CVE-2026-117624 (4243) | High | Не указано; создать учётные записи, способные входить, нельзя | 8,8 |
| Межсайтовый скриптинг (XSS) | CVE-2026-117613 (4225) | High | Item/Configure | 5,4 |
| CVE-2026-117623 (4229) | High | Overall/Read | 5,4 | |
| CVE-2026-117621 (4232) | High | Контроль над процессом агента | 6,1 | |
| CVE-2026-117622 (4249) | High | Контроль над процессом агента | 6,1 | |
| Ограниченное раскрытие информации | CVE-2026-117625 (4206) | Medium | Overall/Read (видны настройки HTTP-прокси) | Ожидает анализа |
| CVE-2026-117626 (4237) | Medium | Overall/Read (видны имена файлов, размеры и время изменения); при Item/Workspace — также имена заданий, у которых есть рабочая область на том же агенте | Ожидает анализа |
Замечание о том, как читать таблицу: некоторые оценки NVD ниже, чем «High» в уведомлении. Это отдельные оценки, и ни одна из них не является просто ошибочной. Позиция этого сайта: обновляться быстро, даже если нужны права, потому что в Jenkins обычно хранятся секреты и права на развёртывание.
Эксплуатация
На 3 ноября 2026 года этот сайт не нашёл достоверных сообщений о том, что эти уязвимости эксплуатировались. В уведомлении Jenkins об эксплуатации тоже не говорится.
- Уведомление Jenkins
- Об эксплуатации не говорится
- KEV
- Ни одной из CVE-2026-117612–117626 нет в каталоге KEV CISA (последнее обновление 30 октября). В KEV есть шесть прошлых уязвимостей Jenkins и связанных продуктов, например плагинов
Мнение этого сайта: отсутствие сообщений не означает безопасность. Исправлению всего несколько дней, и картина может измениться. Jenkins — продукт, который эксплуатировали и раньше, поэтому обновляйте доступные из интернета экземпляры и экземпляры с широкими правами, не дожидаясь сообщений.
Что известно и что неизвестно
| Пункт | Что опубликовано | Статус |
|---|---|---|
| Уязвимости | 15 в ядре (13 High, 2 Medium), исправлены в 2.588 и LTS 2.580.2 (уведомление Jenkins) | Подтверждено (Jenkins) |
| Затронутые версии | Еженедельные 2.587 и ниже, LTS 2.580.1 и ниже (уведомление, записи CVE) | Подтверждено (Jenkins) |
| Эксплуатация без аутентификации | Только CVE-2026-117618, во время первоначальной настройки (уведомление) | Подтверждено (Jenkins) |
| Обходные меры | Только настройки на случай проблем после обновления и принудительная CSP для XSS; для остальных нет | Подтверждено (Jenkins) |
| Числовые оценки | В уведомлении нет; NVD проанализировал 13 (5,4–8,8), 2 ожидают | Частично (NVD) |
| Эксплуатация | Сообщений в проверенных этим сайтом источниках не найдено | Не сообщалось |
| CISA KEV | На 3 ноября не внесены | Не внесены |
| Плагины | Это уведомление охватывает только ядро | Не охвачены (уведомление) |
Если Jenkins для вас запускает кто-то другой
Для образов Docker, чартов Helm для Kubernetes, дистрибутивов вроде CloudBees и Jenkins, который ведёт подрядчик, убедитесь, что можете увидеть версию ядра Jenkins внутри. Три вопроса помогают сдвинуть дело:
- Какая версия Jenkins работает (2.588 или новее, либо LTS 2.580.2 или новее)?
- Когда её обновят или когда обновили?
- Доступен ли он из интернета и есть ли у анонимных пользователей какие-либо права?
Мнение этого сайта: дело меньше в каждой отдельной уязвимости, чем в том, сколько власти сосредоточено в Jenkins
В Jenkins часто сходятся исходный код, облачные ключи и права на развёртывание. Поэтому уязвимость в ядре может обернуться проблемой для всего вашего конвейера сборки и выпуска. Помимо обновления, регулярно проверяйте, у кого какие права, доступен ли Jenkins извне и сколько учётных данных в нём хранится. О расстановке приоритетов читайте в статье какую CVE закрывать первой — CVSS, EPSS и KEV.
Хронология
28 октября
Проект Jenkins публикует уведомление безопасности. 15 проблем ядра исправлены в 2.588 и LTS 2.580.2, опубликованы CVE-2026-117612–117626.К 3 ноября
NVD анализирует 13 из 15 (базовые оценки 5,4–8,8); 2 ожидают анализа.3 ноября
Этот сайт проверяет уведомление, записи CVE и NVD и KEV. Сообщений об эксплуатации не найдено, ни одной из CVE в KEV нет.
Источники (открытые данные)
Проверено 3 ноября 2026 года. Официальное уведомление указано первым.
- Проект Jenkins, «Jenkins Security Advisory 2026-10-28» (28 октября 2026 года) — jenkins.io
- CVE-2026-117612–117626 (опубликованы 28 октября 2026 года проектом Jenkins) — cve.org (пример: CVE-2026-117618) / nvd.nist.gov (пример: CVE-2026-117618)
- Каталог известных эксплуатируемых уязвимостей CISA (проверено 3 ноября для этих 15 CVE; данные обновлены 30 октября) — cisa.gov / JSON
История обновлений
2026-11-03: первая версия, основанная на уведомлении Jenkins 2026-10-28 и записях CVE и NVD. На 3 ноября сообщений об эксплуатации не найдено, ни одной из CVE в KEV нет.
Читайте дальше
- Обновление самостоятельно развёрнутой платформы разработки: экстренный патч GitLab (CVE-2026-110264)
- После раскрытия: план реагирования на уязвимости / какую CVE закрывать первой (CVSS, EPSS, KEV)
- Подготовка: инвентаризация безопасности / как проверить, не заходил ли кто-то в ваш аккаунт
- Термины: Что такое RCE (удалённое выполнение кода) / Что такое XSS / Что такое path traversal / Что такое CVSS