Jenkins 核心修補 15 項漏洞：weekly 2.588／LTS 2.580.2

CVE-2026-117612 · CVE-2026-117618

主要來源公告：2026-10-28

本站刊登：2026-10-29 · 內容更新：2026-10-29（香港日期）

情報摘要

Jenkins 10 月 28 日公告修補核心 15 項漏洞，包括具權限前提的程式碼執行及設定精靈競態問題。weekly 2.587 及以前、LTS 2.580.1 及以前版本應更新；不能把全部漏洞概括為未驗證遠端接管。

這批核心漏洞涵蓋 CVE-2026-117612 至 CVE-2026-117626，涉及程式碼執行、跨網站指令碼、權限與資料存取問題，並非同一個可通用利用的缺陷。

CVE-2026-117612 的反序列化程式碼執行需具 Overall/Read，並且具有非匿名使用者帳戶或可提交相關設定的權限。CVE-2026-117618 則涉及設定精靈替換初始帳戶期間的競態，可讓未驗證攻擊者建立管理員；不應省略該時機限制。

HKCERT 於 10 月 29 日發布本地通報，列出的受影響版本與 Jenkins 官方一致；修復版本以 Jenkins 10 月 28 日公告為準。

Jenkins 核心 weekly 2.587 及以前、LTS 2.580.1 及以前版本

自架 Jenkins 控制器、CI 及建置平台的管理團隊

將 Jenkins weekly 更新至 2.588，或將 LTS 更新至 2.580.2，並依公告核對各項修復對工作流程的影響。不要把關閉新增安全防護的相容性選項當成修補方法；升級後仍應檢查帳戶權限、代理程式及控制器設定。

採用 Jenkins 各項漏洞中最高的 High 評級；其中 13 項為 High、2 項為 Medium。HKCERT 10 月 29 日整批公告則標為中度風險，兩者評估口徑不同，本篇不另推算整批 CVSS。

本次查閱的官方公告沒有確認野外利用；沒有已核實香港受害個案。

各漏洞的權限、設定或時機前提不同；公告日期不是首次攻擊日期。