适用对象：自行运行 Jenkins 的人（自管服务器、VPS、Docker、Kubernetes）、使用 Jenkins 的团队中的基础设施负责人，以及把 Jenkins 交给 CloudBees 等发行版或承包商的人。本文基于 Jenkins 项目的公告以及 CVE 和 NVD 记录，不涉及攻击步骤。
持续更新中：随着更多信息发布，本页面将会更新
- 适用对象
自行运行 Jenkins 的人（自管服务器、VPS、Docker、Kubernetes）、使用 Jenkins 的团队中的基础设施负责人，以及把 Jenkins 交给 CloudBees 等发行版或承包商的人。
- 已确认的影响范围查看表格 ↓
- 漏洞
- 受影响版本
- 无需身份验证即可利用
另外1项
- 变通措施
- 尚未确认的事项
- 是否有被利用的报告（本站检查的范围内没有发现）
- CISA 是否会把其中任何 CVE 加入已知被利用漏洞目录（11 月 3 日未列入）
- NVD 对 15 个漏洞中 2 个的评估（CVE-2026-117625 和 117626 正在等待分析）
- 现在要做的事查看步骤 ↓
- 检查您的 Jenkins 版本
- 更新控制器
- 优先处理新安装的实例
另外3项
- 复核暴露面和权限
- 更新后，复核用户、管理员和代理节点
- 若有可疑之处，请更换凭据
- 最后核实
- 截至 2026 年 11 月 3 日（JST）
续报计划与核实记录
Jenkins 公告称，每周版 2.588 和 LTS 2.580.2 修复了 15 个问题。公告将 13 个评为高危、2 个评为中危，未给出数值评分。NVD 已分析其中 13 个，基础评分在 5.4 至 8.8 之间。
今天要做什么
检查您的 Jenkins 版本
打开“Manage Jenkins > About Jenkins”，或查看页面右下角的版本。每周版 2.587 及更早版本和 LTS 2.580.1 及更早版本受影响。使用 Docker 时，请检查正在运行的容器内部的版本，而不是镜像标签；lts 之类的浮动标签在拉取前后指向不同的内容。对于 CloudBees 等发行版，或由承包商运行的 Jenkins，请阅读提供方的通知以获知修复版本，并询问负责人。
更新控制器
更新到每周版 2.588 或更高版本，或 LTS 2.580.2 或更高版本。更新前，先把保存作业和插件配置的 JENKINS_HOME 备份到服务器之外的地方。更新后请确认登录、运行作业和连接代理节点都正常。
优先处理新安装的实例
CVE-2026-117618（SECURITY-4122）使未经身份验证的用户能在初始设置期间创建管理员账户。NVD 将其评为 8.1（攻击复杂度为高）。如果您正在设置一个可从互联网访问的新 Jenkins，或即将这样做，请在外部无法访问的位置、使用已修复的版本完成设置。
复核暴露面和权限
Jenkins 默认应当位于内部网络或专用网络，而不是直接暴露在互联网上。如果必须可从外部访问，请放在 VPN 或带身份验证的代理之后。同时检查是否仍停留在“登录用户可以做任何事”的设置，以及是否向匿名用户授予了 Overall/Read。公告中的 15 个问题有好几个依赖 Overall/Read。
更新后，复核用户、管理员和代理节点
查看用户列表、拥有管理员权限的账户以及节点（代理）配置，留意任何您不认识的内容。如果在未打补丁期间有拥有权限的人访问过，请检查得更仔细。如果出现您不认识的“Manage Old Data”警告，请不要照其操作。
若有可疑之处，请更换凭据
如果发现可疑的账户或设置，请更换管理员和用户的密码、API 令牌，以及保存在 Jenkins 中的凭据（云密钥、代码仓库密钥）。后续步骤见如何检查账户是否被未经授权使用和漏洞应对手册。
新安装且暴露在互联网上
最高优先级。在已修复的版本上、于互联网之外完成设置
许多人持有权限
尽快更新，然后复核用户、管理员和代理节点
仅限内部、权限很少
按计划更新，并同时复核设置
公告的内容
Jenkins 项目于 2026 年 10 月 28 日发布了“Jenkins Security Advisory 2026-10-28”。它涵盖 Jenkins 核心，不涉及任何插件。
- 受影响版本
- 每周版 2.587 及更早、LTS 2.580.1 及更早。公告称，除非另有说明，所有更早的版本均视为受影响
- 修复版本
- 每周版 2.588、LTS 2.580.2
- 数量与严重程度
- 15 个问题。公告评为高危 13 个、中危 2 个（CVE-2026-117625 和 117626）。未给出数值评分
- 变通措施
- 更新引发问题时用于关闭新增检查的设置（SECURITY-4125、4225），以及在 2.539+ 和 LTS 2.541.1+ 上强制启用内容安全策略（对 SECURITY-4225 可缓解“已知影响”，仍可能存在其他 XSS 或其他类型的漏洞；对 SECURITY-4229 和 4232 可缓解“该漏洞”）。其余漏洞没有给出变通措施
- 利用情况
- 公告未提及被利用
- 发布
- 15 个漏洞均由 Jenkins 项目作为 CNA 于 2026 年 10 月 28 日发布。版本范围与公告一致
- NVD 评估（截至 11 月 3 日）
- 13 个已分析，CVSS v3.1 基础评分在 5.4 至 8.8 之间。CVE-2026-117625 和 117626 正在等待分析。公告的高危、中危与 NVD 的评分出自不同的评估者，因此并不总是一致
15 个问题，按影响分组
“攻击者所需条件”一列是公告所说的内容。NVD 一列是 NVD 的 CVSS v3.1 基础评分。
| 影响 | CVE（SECURITY-ID） | 公告严重程度 | 攻击者所需条件（公告） | NVD |
|---|---|---|---|---|
| 代码可能在控制器上运行 | CVE-2026-117612 (4125) | 高危 | Overall/Read 加一个用户账户，或有权限 POST config.xml | 8.8 |
| CVE-2026-117614 (4123) | 高危 | Agent/Configure | 7.2 | |
| CVE-2026-117616 (4188) | 高危 | Overall/Read | 8.8 | |
| CVE-2026-117617 (4248) | 高危 | Item/Configure | 8.1 | |
| 任意文件读取（公告称可能导致代码执行） | CVE-2026-117615 (4187) | 高危 | Item/Create 和 Item/Configure | 6.5 |
| 管理员账户被创建或被接管 | CVE-2026-117618 (4122) | 高危 | 无（未经身份验证），在初始设置期间 | 8.1 |
| CVE-2026-117620 (4226) | 高危 | Overall/Read；由管理员的操作触发 | 8.8 | |
| 会话比其凭据存活更久 | CVE-2026-117619 (4189) | 高危 | 持有用户的 API 令牌 | 8.1 |
| 创建用户记录（已确认影响有限） | CVE-2026-117624 (4243) | 高危 | 未说明；无法创建可登录的账户 | 8.8 |
| 跨站脚本（XSS） | CVE-2026-117613 (4225) | 高危 | Item/Configure | 5.4 |
| CVE-2026-117623 (4229) | 高危 | Overall/Read | 5.4 | |
| CVE-2026-117621 (4232) | 高危 | 控制代理进程 | 6.1 | |
| CVE-2026-117622 (4249) | 高危 | 控制代理进程 | 6.1 | |
| 有限的信息泄露 | CVE-2026-117625 (4206) | 中危 | Overall/Read（可看到 HTTP 代理设置） | 等待分析 |
| CVE-2026-117626 (4237) | 中危 | Overall/Read（可看到文件名、大小和修改时间）；若同时具备 Item/Workspace，还能看到同一代理上有工作区的作业名称 | 等待分析 |
阅读提示：部分 NVD 评分低于公告的“高危”。两者是各自独立的评估，谁也不能简单地说是错的。本站的立场是，即使需要权限也应尽快更新，因为 Jenkins 通常保存着密钥和部署权限。
利用情况
截至 2026 年 11 月 3 日，本站未发现可信的报告表明这些漏洞已被利用。Jenkins 的公告同样没有提及被利用。
- Jenkins 公告
- 未提及被利用
- KEV
- CVE-2026-117612 至 117626 均不在 CISA 的 KEV 目录中（最后更新于 10 月 30 日）。KEV 列有六个过去的 Jenkins 及插件等相关产品的漏洞
本站的看法：没有报告不等于安全。修复才发布数日，情况可能会变化。Jenkins 是以前被利用过的产品，因此对暴露在互联网上和权限授予很广的实例，不要等报告出现再更新。
已知与未知
| 项目 | 已公布的内容 | 状态 |
|---|---|---|
| 漏洞 | 核心中的 15 个（13 个高危、2 个中危），在 2.588 和 LTS 2.580.2 中修复（Jenkins 公告） | 已确认（Jenkins） |
| 受影响版本 | 每周版 2.587 及更早、LTS 2.580.1 及更早（公告、CVE 记录） | 已确认（Jenkins） |
| 无需身份验证即可利用 | 仅 CVE-2026-117618，在初始设置期间（公告） | 已确认（Jenkins） |
| 变通措施 | 只有针对更新后问题的设置，以及针对 XSS 的强制 CSP；其余没有 | 已确认（Jenkins） |
| 数值评分 | 公告中没有；NVD 已分析 13 个（5.4 至 8.8），2 个等待分析 | 部分（NVD） |
| 利用情况 | 在本站检查的范围内未发现报告 | 无报告 |
| CISA KEV | 截至 11 月 3 日未列入 | 未列入 |
| 插件 | 本公告仅涵盖核心 | 不涵盖（公告） |
如果由他人为您运行 Jenkins
对于 Docker 镜像、Kubernetes Helm chart、CloudBees 等发行版以及由承包商运行的 Jenkins，请确保您能看到其中的 Jenkins 核心版本。三个问题可以推动事情进展：
- 正在运行的 Jenkins 是什么版本（是否为 2.588 或更高，或 LTS 2.580.2 或更高）？
- 什么时候更新，或者已经在什么时候更新过？
- 它能否从互联网访问，匿名用户有没有任何权限？
本站观点：问题与其说在于每个漏洞，不如说在于 Jenkins 掌握了多大的权力
Jenkins 往往是源代码、云密钥和部署权限汇集的地方。因此核心中的一个漏洞可能演变成整个构建和发布流水线的问题。除了更新之外，还应定期复核谁拥有哪些权限、Jenkins 能否从外部访问，以及其中保存了多少凭据。关于如何确定优先级，参见如何确定漏洞优先级（CVSS、EPSS、KEV）。
时间线
2026 年 10 月 28 日
Jenkins 项目发布安全公告。2.588 和 LTS 2.580.2 修复了 15 个核心问题，CVE-2026-117612 至 117626 同时发布。截至 11 月 3 日
NVD 分析了 15 个中的 13 个（基础评分 5.4 至 8.8）；2 个等待分析。11 月 3 日
本站核对了公告、CVE 和 NVD 记录以及 KEV。未发现被利用的报告，这些 CVE 也均不在 KEV 中。
来源（公开记录）
核对于 2026 年 11 月 3 日。官方公告排在最前。
- Jenkins 项目，“Jenkins Security Advisory 2026-10-28”（2026 年 10 月 28 日）— jenkins.io
- CVE-2026-117612 至 117626（由 Jenkins 项目于 2026 年 10 月 28 日发布）— cve.org（示例：CVE-2026-117618） / nvd.nist.gov（示例：CVE-2026-117618）
- CISA 已知被利用漏洞目录（11 月 3 日针对这 15 个 CVE 进行了核对；数据最后更新于 10 月 30 日）— cisa.gov / JSON
更新日志
2026-11-03：首次发布，基于 Jenkins 安全公告 2026-10-28 以及 CVE 和 NVD 记录。截至 11 月 3 日未发现被利用的报告，这些 CVE 也均不在 KEV 中。
延伸阅读
- 更新自托管开发平台：GitLab 紧急补丁（CVE-2026-110264）
- 披露之后：漏洞应对手册 / 如何确定漏洞优先级（CVSS、EPSS、KEV）
- 事前准备：安全资产盘点清单 / 如何检查账户是否被未经授权使用
- 术语：什么是 RCE（远程代码执行） / 什么是 XSS / 什么是路径遍历 / 什么是 CVSS