「Jenkins」に脆弱性 - 一部プラグインは修正版が未提供

「Jenkins」のコア部分や複数のプラグインに脆弱性が明らかとなった。コアや一部プラグインに対してアップデートが提供されている。

開発チームは現地時間2026年8月5日、セキュリティアドバイザリを公開し、コアに関する5件、「Multijob Plugin」「Ivy Report Plugin」「Qualys Container Scanning Connector Plugin」など16種類のプラグインに関する18件、あわせて23件の脆弱性について明らかにした。

コア部分に関しては、通信ライブラリ「Remoting」において、デシリアライズの脆弱性から保護するためのクラスフィルタが一部適用されない脆弱性「CVE-2026-70426」が明らかとなった。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.0」と評価されており、今回判明した脆弱性のなかではもっとも高く、重要度が唯一「クリティカル（Critical）」とレーティングされている。

シンボリックリンクの処理に問題があり、細工されたtarアーカイブによってファイルが任意の場所へ書き込まれるおそれがある「CVE-2026-70427」、ファイルパラメータでファイルパスを正しく認識していないことに起因するパストラバーサルの脆弱性「CVE-2026-70428」の2件についてはCVSS基本値が「8.8」。「CVE-2026-70429」が「8.1」と続いている。のこる脆弱性1件は「低（Low）」とした。

プラグインに関する脆弱性としては「高（High）」が5件、「中（Medium）」が12件、「低（Low）」が1件となっている。

開発チームは、脆弱性を修正した「Jenkins 2.576」「同2.568.2」をリリース。5種類のプラグインについては修正版が用意されている。アドバイザリのリリース時点で11種類のプラグインについては修正版がない。

（Security NEXT - 2026/08/10 ）ツイート

「Jenkins」に脆弱性 - 一部プラグインは修正版が未提供

関連リンク

PR

関連記事