適用對象：自行執行 Jenkins 的人（自管伺服器、VPS、Docker、Kubernetes）、使用 Jenkins 的團隊中的基礎架構負責人，以及把 Jenkins 交給 CloudBees 等發行版或承包商的人。本文依據 Jenkins 專案的公告以及 CVE 與 NVD 紀錄撰寫，不涉及攻擊步驟。
進行中：隨著更多資訊發布，本頁面將會更新
- 適用對象
自行執行 Jenkins 的人（自管伺服器、VPS、Docker、Kubernetes）、使用 Jenkins 的團隊中的基礎架構負責人，以及把 Jenkins 交給 CloudBees 等發行版或承包商的人。
- 已確認的影響範圍查看表格 ↓
- 漏洞
- 受影響版本
- 不需驗證即可利用
另外1項
- 替代措施
- 尚未確認的事項
- 是否有遭利用的報告（本站檢查的範圍內沒有發現）
- CISA 是否會把其中任何 CVE 加入已知遭利用漏洞目錄（11 月 3 日未列入）
- NVD 對 15 個漏洞中 2 個的評估（CVE-2026-117625 與 117626 正在等待分析）
- 現在要做的事查看步驟 ↓
- 確認您的 Jenkins 版本
- 更新控制器
- 優先處理新安裝的執行個體
另外3項
- 複查暴露面與權限
- 更新後，複查使用者、管理員與代理節點
- 若有可疑之處，請更換憑證
- 最後查證
- 截至 2026 年 11 月 3 日（JST）
續報計畫與查證紀錄
Jenkins 公告表示，每週版 2.588 與 LTS 2.580.2 修補了 15 個問題。公告將 13 個評為高風險、2 個評為中風險，未給出數值評分。NVD 已分析其中 13 個，基礎分數介於 5.4 至 8.8 之間。
今天要做什麼
確認您的 Jenkins 版本
開啟「Manage Jenkins > About Jenkins」，或查看頁面右下角的版本。每週版 2.587 及更早版本與 LTS 2.580.1 及更早版本受影響。使用 Docker 時，請確認執行中容器內部的版本，而不是映像檔標籤；lts 之類的浮動標籤在拉取前後指向不同的內容。對於 CloudBees 等發行版，或由承包商執行的 Jenkins，請閱讀提供方的通知以得知修補版本，並詢問負責人。
更新控制器
更新到每週版 2.588 或更新版本，或 LTS 2.580.2 或更新版本。更新前，先把存放作業與外掛程式設定的 JENKINS_HOME 備份到伺服器之外的地方。更新後請確認登入、執行作業與連接代理節點都正常。
優先處理新安裝的執行個體
CVE-2026-117618（SECURITY-4122）讓未經驗證的使用者能在初始設定期間建立管理員帳號。NVD 將其評為 8.1（攻擊複雜度為高）。如果您正在設定一個可從網際網路連入的新 Jenkins，或即將這麼做，請在外部無法連入的位置、使用已修補的版本完成設定。
複查暴露面與權限
Jenkins 預設應位於內部網路或專用網路，而不是直接暴露在網際網路上。如果必須可從外部連入，請放在 VPN 或具驗證功能的代理之後。同時檢查是否仍停留在「登入的使用者可以做任何事」的設定，以及是否對匿名使用者授予了 Overall/Read。公告中的 15 個問題有好幾個依賴 Overall/Read。
更新後，複查使用者、管理員與代理節點
查看使用者清單、擁有管理員權限的帳號以及節點（代理）設定，留意任何您不認得的內容。如果在未修補期間有擁有權限的人存取過，請檢查得更仔細。如果出現您不認得的「Manage Old Data」警告，請不要照著操作。
若有可疑之處，請更換憑證
如果發現可疑的帳號或設定，請更換管理員與使用者的密碼、API 權杖，以及儲存在 Jenkins 中的憑證（雲端金鑰、程式碼儲存庫金鑰）。後續步驟請見如何檢查帳號是否遭未經授權使用與漏洞因應手冊。
新安裝且暴露在網際網路上
最高優先。在已修補的版本上、於網際網路之外完成設定
許多人持有權限
儘快更新，然後複查使用者、管理員與代理節點
僅限內部、權限很少
依計畫更新，並同時複查設定
公告的內容
Jenkins 專案於 2026 年 10 月 28 日發布了「Jenkins Security Advisory 2026-10-28」。它涵蓋 Jenkins 核心，不涉及任何外掛程式。
- 受影響版本
- 每週版 2.587 及更早、LTS 2.580.1 及更早。公告表示，除非另有說明，所有更早的版本均視為受影響
- 修補版本
- 每週版 2.588、LTS 2.580.2
- 數量與嚴重程度
- 15 個問題。公告評為高風險 13 個、中風險 2 個（CVE-2026-117625 與 117626）。未給出數值評分
- 替代措施
- 更新造成問題時用於關閉新增檢查的設定（SECURITY-4125、4225），以及在 2.539+ 與 LTS 2.541.1+ 上強制啟用內容安全政策（對 SECURITY-4225 可減緩「已知影響」，仍可能存在其他 XSS 或其他類型的漏洞；對 SECURITY-4229 與 4232 可減緩「該漏洞」）。其餘漏洞沒有給出替代措施
- 利用情況
- 公告未提及遭利用
- 發布
- 15 個漏洞均由 Jenkins 專案作為 CNA 於 2026 年 10 月 28 日發布。版本範圍與公告一致
- NVD 評估（截至 11 月 3 日）
- 13 個已分析，CVSS v3.1 基礎分數介於 5.4 至 8.8 之間。CVE-2026-117625 與 117626 正在等待分析。公告的高風險、中風險與 NVD 的分數出自不同的評估者，因此並不總是一致
15 個問題，依影響分組
「攻擊者所需條件」一欄是公告所說的內容。NVD 一欄是 NVD 的 CVSS v3.1 基礎分數。
| 影響 | CVE（SECURITY-ID） | 公告嚴重程度 | 攻擊者所需條件（公告） | NVD |
|---|---|---|---|---|
| 程式碼可能在控制器上執行 | CVE-2026-117612 (4125) | 高風險 | Overall/Read 加一個使用者帳號，或有權限 POST config.xml | 8.8 |
| CVE-2026-117614 (4123) | 高風險 | Agent/Configure | 7.2 | |
| CVE-2026-117616 (4188) | 高風險 | Overall/Read | 8.8 | |
| CVE-2026-117617 (4248) | 高風險 | Item/Configure | 8.1 | |
| 任意檔案讀取（公告表示可能導致程式碼執行） | CVE-2026-117615 (4187) | 高風險 | Item/Create 與 Item/Configure | 6.5 |
| 管理員帳號被建立或被接管 | CVE-2026-117618 (4122) | 高風險 | 無（未經驗證），在初始設定期間 | 8.1 |
| CVE-2026-117620 (4226) | 高風險 | Overall/Read；由管理員的操作觸發 | 8.8 | |
| 工作階段比其憑證存活更久 | CVE-2026-117619 (4189) | 高風險 | 持有使用者的 API 權杖 | 8.1 |
| 建立使用者紀錄（已確認影響有限） | CVE-2026-117624 (4243) | 高風險 | 未說明；無法建立可登入的帳號 | 8.8 |
| 跨站指令碼（XSS） | CVE-2026-117613 (4225) | 高風險 | Item/Configure | 5.4 |
| CVE-2026-117623 (4229) | 高風險 | Overall/Read | 5.4 | |
| CVE-2026-117621 (4232) | 高風險 | 控制代理程序 | 6.1 | |
| CVE-2026-117622 (4249) | 高風險 | 控制代理程序 | 6.1 | |
| 有限的資訊洩露 | CVE-2026-117625 (4206) | 中風險 | Overall/Read（可看到 HTTP Proxy 設定） | 等待分析 |
| CVE-2026-117626 (4237) | 中風險 | Overall/Read（可看到檔名、大小與修改時間）；若同時具備 Item/Workspace，還能看到同一代理上有工作區的作業名稱 | 等待分析 |
閱讀提示：部分 NVD 分數低於公告的「高風險」。兩者是各自獨立的評估，不能簡單說哪一方是錯的。本站的立場是，即使需要權限也應儘快更新，因為 Jenkins 通常存放著金鑰與部署權限。
利用情況
截至 2026 年 11 月 3 日，本站未發現可信的報告顯示這些漏洞已遭利用。Jenkins 的公告同樣沒有提及遭利用。
- Jenkins 公告
- 未提及遭利用
- KEV
- CVE-2026-117612 至 117626 均不在 CISA 的 KEV 目錄中（最後更新於 10 月 30 日）。KEV 列有六個過去的 Jenkins 及外掛程式等相關產品的漏洞
本站的看法：沒有報告不等於安全。修補才發布數日，情況可能會變化。Jenkins 是以前遭利用過的產品，因此對暴露在網際網路上與權限授予很廣的執行個體，不要等報告出現再更新。
已知與未知
| 項目 | 已公布的內容 | 狀態 |
|---|---|---|
| 漏洞 | 核心中的 15 個（13 個高風險、2 個中風險），在 2.588 與 LTS 2.580.2 中修補（Jenkins 公告） | 已確認（Jenkins） |
| 受影響版本 | 每週版 2.587 及更早、LTS 2.580.1 及更早（公告、CVE 紀錄） | 已確認（Jenkins） |
| 不需驗證即可利用 | 僅 CVE-2026-117618，在初始設定期間（公告） | 已確認（Jenkins） |
| 替代措施 | 只有針對更新後問題的設定，以及針對 XSS 的強制 CSP；其餘沒有 | 已確認（Jenkins） |
| 數值評分 | 公告中沒有；NVD 已分析 13 個（5.4 至 8.8），2 個等待分析 | 部分（NVD） |
| 利用情況 | 在本站檢查的範圍內未發現報告 | 無報告 |
| CISA KEV | 截至 11 月 3 日未列入 | 未列入 |
| 外掛程式 | 本公告僅涵蓋核心 | 不涵蓋（公告） |
如果由他人為您執行 Jenkins
對於 Docker 映像檔、Kubernetes Helm chart、CloudBees 等發行版，以及由承包商執行的 Jenkins，請確保您能看到其中的 Jenkins 核心版本。三個問題可以推動事情進展：
- 正在執行的 Jenkins 是什麼版本（是否為 2.588 或更新，或 LTS 2.580.2 或更新）？
- 什麼時候更新，或者已經在什麼時候更新過？
- 它能否從網際網路連入，匿名使用者有沒有任何權限？
本站觀點：問題與其說在於每個漏洞，不如說在於 Jenkins 掌握了多大的權力
Jenkins 往往是原始碼、雲端金鑰與部署權限匯集的地方。因此核心中的一個漏洞可能演變成整條建置與發布流程的問題。除了更新之外，還應定期複查誰擁有哪些權限、Jenkins 能否從外部連入，以及其中存放了多少憑證。關於如何決定優先順序，請見如何決定漏洞的優先順序（CVSS、EPSS、KEV）。
時間軸
2026 年 10 月 28 日
Jenkins 專案發布安全公告。2.588 與 LTS 2.580.2 修補了 15 個核心問題，CVE-2026-117612 至 117626 同時發布。截至 11 月 3 日
NVD 分析了 15 個中的 13 個（基礎分數 5.4 至 8.8）；2 個等待分析。11 月 3 日
本站核對了公告、CVE 與 NVD 紀錄以及 KEV。未發現遭利用的報告，這些 CVE 也都不在 KEV 中。
來源（公開紀錄）
核對於 2026 年 11 月 3 日。官方公告排在最前。
- Jenkins 專案，「Jenkins Security Advisory 2026-10-28」（2026 年 10 月 28 日）— jenkins.io
- CVE-2026-117612 至 117626（由 Jenkins 專案於 2026 年 10 月 28 日發布）— cve.org（範例：CVE-2026-117618） / nvd.nist.gov（範例：CVE-2026-117618）
- CISA 已知遭利用漏洞目錄（11 月 3 日針對這 15 個 CVE 進行了核對；資料最後更新於 10 月 30 日）— cisa.gov / JSON
更新紀錄
2026-11-03：首次發布，依據 Jenkins 安全公告 2026-10-28 以及 CVE 與 NVD 紀錄撰寫。截至 11 月 3 日未發現遭利用的報告，這些 CVE 也都不在 KEV 中。
延伸閱讀
- 更新自架開發平台：GitLab 緊急修補（CVE-2026-110264）
- 揭露之後：漏洞因應手冊 / 如何決定漏洞的優先順序（CVSS、EPSS、KEV）
- 事前準備：資安資產盤點清單 / 如何檢查帳號是否遭未經授權使用
- 名詞解釋：什麼是 RCE（遠端程式碼執行） / 什麼是 XSS / 什麼是路徑遍歷 / 什麼是 CVSS