検索NeSC を見る
脆弱性・CVE速報深刻度: 高

Jenkins 2.588・LTS 2.580.2 で 15 件の脆弱性を修正（CVE-2026-117612〜117626）: XStream 経由の RCE、エージェント名のパストラバーサル、初期設定の競合による管理者作成など

World Security 編集部
目次（6）

CVE-2026-117612

CVE-2026-117613

CVE-2026-117614

CVE-2026-117615

CVE-2026-117616

CVE-2026-117617

CVE-2026-117618

CVE-2026-117619

CVE-2026-117620

CVE-2026-117621

CVE-2026-117622

CVE-2026-117623

CVE-2026-117624

CVE-2026-117625

CVE-2026-117626

Jenkins プロジェクトは 2026-10-28 のセキュリティ勧告（Jenkins core）で、15 件の脆弱性（CVE-2026-117612〜117626）を公表しました。影響を受けるのは Jenkins 週次版 2.587 まで、LTS 2.580.1 までで、修正は週次版 2.588、LTS 2.580.2 です。Jenkins 自身の評価では 15 件中 13 件が High、2 件が Medium です。

何が起きるか

  • コントローラーでのコード実行につながるもの: XStream のデシリアライズフィルターの回避（CVE-2026-117612）、エージェント名のパストラバーサル（CVE-2026-117616）、成果物展開時の競合による任意ファイル作成（CVE-2026-117617）、旧形式のエージェント起動コマンドの承認回避（CVE-2026-117614）。多くは Overall/Read、Item/Configure、Agent/Configure など、すでにログインしている利用者の権限が前提です。
  • 認証なしで悪用できるもの: 初期設定ウィザードの競合（CVE-2026-117618）の 1 件です。初期ユーザーが置き換えられる間に、認証なしで管理者アカウントを作成できます。攻撃条件の複雑さは「高」とされ、タイミングが限られます。
  • アカウント乗っ取り・認証の持続: Old Data Monitor への注入（CVE-2026-117620）は、管理者が警告に対処した際にユーザーアカウントのパスワードなどが上書きされます。CVE-2026-117619 は、API トークンで取得した remember me クッキーが、トークン失効後も有効なままになります。
  • 情報の取得: 項目の名前変更時のシンボリックリンク追跡による任意ファイル読み取り（CVE-2026-117615）、HTTP プロキシ設定の取得（CVE-2026-117625）、$JENKINS_HOME 内のファイル名などの取得（CVE-2026-117626）。
  • XSS 4 件: CVE-2026-117613・117621・117622・117623。Jenkins 2.539 以降・LTS 2.541.1 以降で Content Security Policy を有効にしている場合、勧告は 117613・117621・117623 の影響が緩和されると記載しています。

一覧

CVEJenkins の ID内容CWECVSS v3.1（NVD）必要な権限
CVE-2026-117612SECURITY-4125XStream の resolves-to 属性の扱いが不適切で、デシリアライズフィルターを回避して任意の型を生成（RCE のおそれ）CWE-5028.8Overall/Read 権限＋ユーザーアカウントまたは config.xml を POST できる権限
CVE-2026-117613SECURITY-4225コレクション要素の型検査の回避による格納型 XSSCWE-5025.4Item/Configure
CVE-2026-117614SECURITY-4123旧形式のエージェント起動コマンドが管理者の承認なしで変換され、コントローラー JVM で任意コード実行CWE-8627.2Agent/Configure
CVE-2026-117615SECURITY-4187項目の名前変更時にシンボリックリンクをたどり、任意のファイルを読み取りCWE-596.5Item/Create と Item/Configure
CVE-2026-117616SECURITY-4188エージェント名の検証がなく、任意の config.xml をエージェント設定として読み込み・上書き（RCE のおそれ）CWE-228.8Overall/Read
CVE-2026-117617SECURITY-4248成果物の展開時の競合状態で、コントローラー上の任意の場所にファイルを作成CWE-598.1Item/Configure
CVE-2026-117618SECURITY-4122初期設定ウィザード中の競合状態で、未認証の攻撃者が管理者アカウントを作成CWE-3628.1不要（AC:H）
CVE-2026-117619SECURITY-4189API トークンなどの HTTP Basic 認証で「remember me」クッキーを取得でき、トークン失効後も接続を維持分類なし8.1API トークンの入手が前提
CVE-2026-117620SECURITY-4226Old Data Monitor への注入で、管理者の操作を介してユーザーアカウント情報（パスワードを含む）を上書き分類なし8.8Overall/Read（管理者の操作が必要）
CVE-2026-117621SECURITY-4232ワークスペースブラウザーのリンク URL をエージェントが計算することによる XSSCWE-796.1エージェントのプロセスを制御していること
CVE-2026-117622SECURITY-4249エージェントが送れる例外が HTTP 応答として描画されることによる XSSCWE-796.1エージェントのプロセスを制御していること
CVE-2026-117623SECURITY-4229パンくずバーのオーバーフローメニューのツールチップが未エスケープで、格納型 XSSCWE-795.4Overall/Read
CVE-2026-117624SECURITY-4243XStream のルート要素制限の回避（確認済みの影響は、ユーザーレコード〔名前と表示名のみ〕の作成に限られる）CWE-5028.8Overall/Read 以上
CVE-2026-117625SECURITY-4206HTTP エンドポイントの権限チェック漏れで、HTTP プロキシ設定（サーバー・ポート・ユーザー名・除外リスト）を取得未分類未算定Overall/Read
CVE-2026-117626SECURITY-4237ファイルブラウザーのパストラバーサルで、$JENKINS_HOME 内のファイル名・サイズ・更新時刻を取得未分類未算定Overall/Read（一部は Item/Workspace）

CVSS は NVD（nvd@nist.gov）の v3.1 の値です。CVE-2026-117625・117626 は 2026-11-03 時点で NVD の分析待ちで、CVSS は未算定です（Jenkins の評価は Medium）。

数値と出典（2026-11-03 時点）

項目内容
公表2026-10-28（Jenkins セキュリティ勧告）
影響を受ける版Jenkins 週次版 2.587 まで、LTS 2.580.1 まで
修正版週次版 2.588、LTS 2.580.2
CVSS v3.1 の最高値8.8（CVE-2026-117612・117616・117620・117624）
EPSS（FIRST）15 件すべて 0.17〜0.22%（2026-11-02 算定）
KEV15 件とも掲載なし
出典Jenkins セキュリティ勧告、NVD、FIRST、CISA

severity を high とした理由

最高の CVSS は 8.8 で、9.0 に届きません。認証不要で悪用できるのは CVE-2026-117618 の 1 件（8.1、攻撃条件の複雑さは高）だけで、残りは何らかの権限を持つ利用者が前提です。基準（認証不要かつ 9.0 以上は critical）に当てはまらないため high としています。ただし、Overall/Read を匿名や広い利用者に与えている環境では、実質的な前提が弱まるため、危険度の見積もりを上げて考える必要があります。

対応として考えられること

  1. 利用中の Jenkins の版を確認します（週次版 2.587 まで、LTS 2.580.1 まで が対象）。
  2. 週次版は 2.588、LTS は 2.580.2 へ更新します。
  3. 更新までの間、Jenkins への到達範囲を社内ネットワークや VPN などに限り、Overall/Read や Item/Configure などの権限を与えている利用者を見直します（推定）。
  4. 初期設定ウィザードを完了していない新規構築の Jenkins をインターネットに公開しないようにします（推定）。
  5. 更新後、想定外のユーザーアカウントや、見覚えのない config.xml の変更・エージェントの追加がないかを確認します（推定）。
  6. 勧告は、更新後に XStream の型検査などで問題が出た場合の回避用 Java システムプロパティ（例: hudson.util.XStream2.SUPPRESS_TYPE_PERMISSION）を載せています。無効化は更新後の不具合対応に限り、詳細は勧告を参照してください。

未確認の点

  • 実際の攻撃での悪用は確認していません。KEV の掲載もありません。
  • CVE-2026-117625・117626 は NVD の分析待ちで、CVSS が未算定です。
  • 各 CVE の攻撃の具体的な手順は、本記事では扱いません。
  • 利用者の Jenkins の導入状況やインターネット上への公開状況は確認できていません。
  • 2.587 より前のどこまでが影響を受けるかは、勧告の「それ以前の版はすべて影響を受ける」という記載に基づきます。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事