--- title: "Jenkins 2.588・LTS 2.580.2 で 15 件の脆弱性を修正（CVE-2026-117612〜117626）: XStream 経由の RCE、エージェント名のパストラバーサル、初期設定の競合による管理者作成など" url: https://n-t-p.io/worldsecurity/articles/jenkins-2-588-lts-2-580-2-15-cves-xstream-rce-agent-path-traversal-setup-race-cve-2026-117612-117626 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-117612, CVE-2026-117613, CVE-2026-117614, CVE-2026-117615, CVE-2026-117616, CVE-2026-117617, CVE-2026-117618, CVE-2026-117619, CVE-2026-117620, CVE-2026-117621, CVE-2026-117622, CVE-2026-117623, CVE-2026-117624, CVE-2026-117625, CVE-2026-117626 --- # Jenkins 2.588・LTS 2.580.2 で 15 件の脆弱性を修正（CVE-2026-117612〜117626）: XStream 経由の RCE、エージェント名のパストラバーサル、初期設定の競合による管理者作成など > **TL;DR:** Jenkins 週次版 2.587 まで・LTS 2.580.1 までに 15 件の脆弱性（CVE-2026-117612〜117626）。XStream 経由の RCE、エージェント名のパストラバーサル、初期設定の競合による管理者作成などを含む。NVD の CVSS v3.1 は最高 8.8、認証不要は 1 件（8.1）。修正は週次版 2.588・LTS 2.580.2。KEV 掲載なし、EPSS は 0.2% 前後。 **要点** - Jenkins core の 15 件（CVE-2026-117612〜117626）を 2026-10-28 に公表。週次版 2.587 まで、LTS 2.580.1 までが対象で、修正は 2.588 と LTS 2.580.2 - コントローラーでのコード実行につながる欠陥は XStream のフィルター回避、エージェント名のパストラバーサル、成果物展開の競合、旧起動コマンドの承認回避。多くは Overall/Read や Item/Configure などログイン済みの権限が前提 - 認証不要なのは初期設定ウィザードの競合（CVE-2026-117618、CVSS 8.1、攻撃条件の複雑さは高）の 1 件。NVD の CVSS 最高値は 8.8 - KEV 掲載なし、EPSS は 15 件とも 0.17〜0.22%。CVE-2026-117625・117626 は NVD の分析待ちで CVSS 未算定 - 悪用の有無、導入状況は未確認。更新までは到達範囲と付与権限を絞る（推定） Jenkins プロジェクトは 2026-10-28 のセキュリティ勧告（Jenkins core）で、15 件の脆弱性（CVE-2026-117612〜117626）を公表しました。影響を受けるのは Jenkins 週次版 2.587 まで、LTS 2.580.1 までで、修正は週次版 2.588、LTS 2.580.2 です。Jenkins 自身の評価では 15 件中 13 件が High、2 件が Medium です。 ## 何が起きるか - **コントローラーでのコード実行につながるもの**: XStream のデシリアライズフィルターの回避（CVE-2026-117612）、エージェント名のパストラバーサル（CVE-2026-117616）、成果物展開時の競合による任意ファイル作成（CVE-2026-117617）、旧形式のエージェント起動コマンドの承認回避（CVE-2026-117614）。多くは Overall/Read、Item/Configure、Agent/Configure など、すでにログインしている利用者の権限が前提です。 - **認証なしで悪用できるもの**: 初期設定ウィザードの競合（CVE-2026-117618）の 1 件です。初期ユーザーが置き換えられる間に、認証なしで管理者アカウントを作成できます。攻撃条件の複雑さは「高」とされ、タイミングが限られます。 - **アカウント乗っ取り・認証の持続**: Old Data Monitor への注入（CVE-2026-117620）は、管理者が警告に対処した際にユーザーアカウントのパスワードなどが上書きされます。CVE-2026-117619 は、API トークンで取得した remember me クッキーが、トークン失効後も有効なままになります。 - **情報の取得**: 項目の名前変更時のシンボリックリンク追跡による任意ファイル読み取り（CVE-2026-117615）、HTTP プロキシ設定の取得（CVE-2026-117625）、$JENKINS_HOME 内のファイル名などの取得（CVE-2026-117626）。 - **XSS 4 件**: CVE-2026-117613・117621・117622・117623。Jenkins 2.539 以降・LTS 2.541.1 以降で Content Security Policy を有効にしている場合、勧告は 117613・117621・117623 の影響が緩和されると記載しています。 ## 一覧 | CVE | Jenkins の ID | 内容 | CWE | CVSS v3.1（NVD） | 必要な権限 | |---|---|---|---|---|---| | CVE-2026-117612 | SECURITY-4125 | XStream の resolves-to 属性の扱いが不適切で、デシリアライズフィルターを回避して任意の型を生成（RCE のおそれ） | CWE-502 | 8.8 | Overall/Read 権限＋ユーザーアカウントまたは config.xml を POST できる権限 | | CVE-2026-117613 | SECURITY-4225 | コレクション要素の型検査の回避による格納型 XSS | CWE-502 | 5.4 | Item/Configure | | CVE-2026-117614 | SECURITY-4123 | 旧形式のエージェント起動コマンドが管理者の承認なしで変換され、コントローラー JVM で任意コード実行 | CWE-862 | 7.2 | Agent/Configure | | CVE-2026-117615 | SECURITY-4187 | 項目の名前変更時にシンボリックリンクをたどり、任意のファイルを読み取り | CWE-59 | 6.5 | Item/Create と Item/Configure | | CVE-2026-117616 | SECURITY-4188 | エージェント名の検証がなく、任意の config.xml をエージェント設定として読み込み・上書き（RCE のおそれ） | CWE-22 | 8.8 | Overall/Read | | CVE-2026-117617 | SECURITY-4248 | 成果物の展開時の競合状態で、コントローラー上の任意の場所にファイルを作成 | CWE-59 | 8.1 | Item/Configure | | CVE-2026-117618 | SECURITY-4122 | 初期設定ウィザード中の競合状態で、未認証の攻撃者が管理者アカウントを作成 | CWE-362 | 8.1 | 不要（AC:H） | | CVE-2026-117619 | SECURITY-4189 | API トークンなどの HTTP Basic 認証で「remember me」クッキーを取得でき、トークン失効後も接続を維持 | 分類なし | 8.1 | API トークンの入手が前提 | | CVE-2026-117620 | SECURITY-4226 | Old Data Monitor への注入で、管理者の操作を介してユーザーアカウント情報（パスワードを含む）を上書き | 分類なし | 8.8 | Overall/Read（管理者の操作が必要） | | CVE-2026-117621 | SECURITY-4232 | ワークスペースブラウザーのリンク URL をエージェントが計算することによる XSS | CWE-79 | 6.1 | エージェントのプロセスを制御していること | | CVE-2026-117622 | SECURITY-4249 | エージェントが送れる例外が HTTP 応答として描画されることによる XSS | CWE-79 | 6.1 | エージェントのプロセスを制御していること | | CVE-2026-117623 | SECURITY-4229 | パンくずバーのオーバーフローメニューのツールチップが未エスケープで、格納型 XSS | CWE-79 | 5.4 | Overall/Read | | CVE-2026-117624 | SECURITY-4243 | XStream のルート要素制限の回避（確認済みの影響は、ユーザーレコード〔名前と表示名のみ〕の作成に限られる） | CWE-502 | 8.8 | Overall/Read 以上 | | CVE-2026-117625 | SECURITY-4206 | HTTP エンドポイントの権限チェック漏れで、HTTP プロキシ設定（サーバー・ポート・ユーザー名・除外リスト）を取得 | 未分類 | 未算定 | Overall/Read | | CVE-2026-117626 | SECURITY-4237 | ファイルブラウザーのパストラバーサルで、$JENKINS_HOME 内のファイル名・サイズ・更新時刻を取得 | 未分類 | 未算定 | Overall/Read（一部は Item/Workspace） | CVSS は NVD（nvd@nist.gov）の v3.1 の値です。CVE-2026-117625・117626 は 2026-11-03 時点で NVD の分析待ちで、CVSS は未算定です（Jenkins の評価は Medium）。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | 公表 | 2026-10-28（Jenkins セキュリティ勧告） | | 影響を受ける版 | Jenkins 週次版 2.587 まで、LTS 2.580.1 まで | | 修正版 | 週次版 2.588、LTS 2.580.2 | | CVSS v3.1 の最高値 | 8.8（CVE-2026-117612・117616・117620・117624） | | EPSS（FIRST） | 15 件すべて 0.17〜0.22%（2026-11-02 算定） | | KEV | 15 件とも掲載なし | | 出典 | Jenkins セキュリティ勧告、NVD、FIRST、CISA | ## severity を high とした理由 最高の CVSS は 8.8 で、9.0 に届きません。認証不要で悪用できるのは CVE-2026-117618 の 1 件（8.1、攻撃条件の複雑さは高）だけで、残りは何らかの権限を持つ利用者が前提です。基準（認証不要かつ 9.0 以上は critical）に当てはまらないため high としています。ただし、Overall/Read を匿名や広い利用者に与えている環境では、実質的な前提が弱まるため、危険度の見積もりを上げて考える必要があります。 ## 対応として考えられること 1. 利用中の Jenkins の版を確認します（週次版 2.587 まで、LTS 2.580.1 まで が対象）。 2. 週次版は 2.588、LTS は 2.580.2 へ更新します。 3. 更新までの間、Jenkins への到達範囲を社内ネットワークや VPN などに限り、Overall/Read や Item/Configure などの権限を与えている利用者を見直します（推定）。 4. 初期設定ウィザードを完了していない新規構築の Jenkins をインターネットに公開しないようにします（推定）。 5. 更新後、想定外のユーザーアカウントや、見覚えのない config.xml の変更・エージェントの追加がないかを確認します（推定）。 6. 勧告は、更新後に XStream の型検査などで問題が出た場合の回避用 Java システムプロパティ（例: hudson.util.XStream2.SUPPRESS_TYPE_PERMISSION）を載せています。無効化は更新後の不具合対応に限り、詳細は勧告を参照してください。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。KEV の掲載もありません。 - CVE-2026-117625・117626 は NVD の分析待ちで、CVSS が未算定です。 - 各 CVE の攻撃の具体的な手順は、本記事では扱いません。 - 利用者の Jenkins の導入状況やインターネット上への公開状況は確認できていません。 - 2.587 より前のどこまでが影響を受けるかは、勧告の「それ以前の版はすべて影響を受ける」という記載に基づきます。 ## 出典 - [Jenkins Security Advisory 2026-10-28](https://www.jenkins.io/security/advisory/2026-10-28/) — Jenkins - [NVD CVE-2026-117616（ほか 117612〜117626 の各ページ）](https://nvd.nist.gov/vuln/detail/CVE-2026-117616) — NIST NVD - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-117612,CVE-2026-117616,CVE-2026-117618) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/jenkins-2-588-lts-2-580-2-15-cves-xstream-rce-agent-path-traversal-setup-race-cve-2026-117612-117626