2026-11-03
Jenkins 2.588 и LTS 2.580.2 исправляют 15 уязвимостей (CVE-2026-117612–117626): как проверить версию и что проверить после обновления
28 октября 2026 года проект Jenkins опубликовал уведомление безопасности, исправляющее 15 уязвимостей в ядре Jenkins (CVE-2026-117612–CVE-2026-117626) в еженедельной версии 2.588 и LTS 2.580.2. Затронуты еженедельные версии 2.587 и ниже и LTS 2.580.1 и ниже. Уведомление оценивает 13 как High и 2 как Medium. Для большинства нужны какие-то права, например Overall/Read или Item/Configure (в некоторых конфигурациях Overall/Read выдан анонимным пользователям). Исключение — CVE-2026-117618, состояние гонки в мастере первоначальной настройки, которое позволяет неаутентифицированному пользователю создать учётную запись администратора во время первоначальной настройки; из-за этого выше приоритет у недавно установленных Jenkins, доступных из интернета. Единственные обходные меры, которые перечисляет уведомление, — настройки для отключения новых проверок, если обновление вызывает проблемы, и принудительная Content Security Policy, ограничивающая известное воздействие трёх XSS-уязвимостей; исправление — обновление. На 3 ноября этот сайт не нашёл достоверных сообщений об эксплуатации, и ни одной из 15 нет в каталоге известных эксплуатируемых уязвимостей (KEV) CISA. Вывод этого сайта: проверьте версию Jenkins, обновитесь до 2.588 (LTS 2.580.2), не выставляйте Jenkins в интернет и не давайте анонимным пользователям прав, а после обновления проверьте пользователей, администраторов и агентов.