2026-11-03
Jenkins 2.588 和 LTS 2.580.2 修复 15 个漏洞（CVE-2026-117612 至 117626）：检查版本，以及更新后要复核什么
2026 年 10 月 28 日，Jenkins 项目发布安全公告，在每周版 2.588 和 LTS 2.580.2 中修复了 Jenkins 核心的 15 个漏洞（CVE-2026-117612 至 CVE-2026-117626）。受影响的是每周版 2.587 及更早版本和 LTS 2.580.1 及更早版本。公告将其中 13 个评为高危，2 个评为中危。大多数漏洞需要某种权限，例如 Overall/Read 或 Item/Configure（有些配置会向匿名用户授予 Overall/Read）。例外是 CVE-2026-117618，即初始设置向导中的竞态条件，使未经身份验证的用户能在初始设置期间创建管理员账户，因此对暴露在互联网上的新安装 Jenkins 实例而言优先级更高。公告列出的唯一变通措施，是在更新引发问题时关闭新增检查的设置，以及强制启用内容安全策略（CSP），后者可限制三个 XSS 漏洞的已知影响；真正的修复是更新。截至 11 月 3 日，本站未发现可信的被利用报告，这 15 个漏洞也均不在 CISA 的已知被利用漏洞（KEV）目录中。本站的结论：确认您的 Jenkins 版本，更新到 2.588（LTS 2.580.2），不要让 Jenkins 暴露在互联网上，也不要给匿名用户任何权限，并在更新后复核用户、管理员和代理节点。