2026-11-03
Jenkins 2.588 與 LTS 2.580.2 修補 15 個漏洞（CVE-2026-117612 至 117626）：確認版本，以及更新後要複查什麼
2026 年 10 月 28 日，Jenkins 專案發布安全公告，在每週版 2.588 與 LTS 2.580.2 中修補了 Jenkins 核心的 15 個漏洞（CVE-2026-117612 至 CVE-2026-117626）。受影響的是每週版 2.587 及更早版本與 LTS 2.580.1 及更早版本。公告將其中 13 個評為高風險，2 個評為中風險。多數漏洞需要某種權限，例如 Overall/Read 或 Item/Configure（有些設定會對匿名使用者授予 Overall/Read）。例外是 CVE-2026-117618，即初始設定精靈中的競態條件，讓未經驗證的使用者能在初始設定期間建立管理員帳號，因此對暴露在網際網路上的新安裝 Jenkins 執行個體而言優先順序更高。公告列出的唯一替代做法，是在更新造成問題時關閉新增檢查的設定，以及強制啟用內容安全政策（CSP），後者可限制三個 XSS 漏洞的已知影響；真正的修復是更新。截至 11 月 3 日，本站未發現可信的遭利用報告，這 15 個漏洞也都不在 CISA 的已知遭利用漏洞（KEV）目錄中。本站的結論：確認您的 Jenkins 版本，更新到 2.588（LTS 2.580.2），不要讓 Jenkins 暴露在網際網路上，也不要給匿名使用者任何權限，並在更新後複查使用者、管理員與代理節點。