30秒で判断
対応すべき人:
- Jenkins 2.579 以前、または LTS 2.568.2 以前を運用している
- かつ 一定の権限を持つユーザーが
config.xmlを投稿できる（ジョブ設定等）
対応不要な人:
- Jenkins を修正版へアップデート済み
- Jenkins を使用していない
確認コマンド:
# Jenkins のバージョン確認
curl -sI http://<jenkins-host>/ | grep -i x-jenkins
概要
本脆弱性は、Jenkins 2.579 以前および LTS 2.568.2 以前に存在します。グローバル設定やジョブなど、独立したトップレベル設定ファイルに構成を保存する型のオブジェクト が、ユーザー投稿の config.xml 内のネストしたフィールド値として出現し、その後 Jenkins のWebフレームワークである Stapler 経由でHTTPリクエストを処理できてしまいます（CWE-94 コードインジェクション / CWE-915 属性の不適切な変更）。
Stapler はURLパスをオブジェクトのメソッド呼び出しにマッピングするため、本来設定値であるはずのオブジェクトがリクエスト処理経路に載ると、意図しないメソッドが呼び出され、結果として リモートコード実行 に至ります。同日のアドバイザリでは、関連して CVE-2026-84648（システムログビューアのXSS）や CVE-2026-84650 も公開されています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.8（High） |
| CWE | CWE-94 / CWE-915 |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 攻撃条件の複雑さ (AC) | 低 (L) |
| 必要な特権 (PR) | 低 (L) |
| ユーザーの関与 (UI) | 不要 (N) |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| Jenkins（weekly） | 2.579 以前 |
| Jenkins LTS | 2.568.2 以前 |
修正バージョンと回避策
2026-09-02 の Jenkins セキュリティアドバイザリに従い、修正版へアップデート してください。暫定策として、config.xml を投稿できる権限の付与範囲を最小化することも有効です。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。