【漏洞预警】Jenkins 爆严重漏洞，反序列化可在控制器上执行代码（CVE-2026-117612）

发布日期： 2026 年 11 月 3 日
风险等级： 高危（High）起；含可导致控制器代码执行的项
漏洞编号： CVE-2026-117612 至 CVE-2026-117624（同批 High；不含 Medium 的 117625 / 117626）
涉及镜像： jenkins/jenkins — 轩辕镜像 · Docker Hub
CVSS： 见 Jenkins 安全公告 2026-10-28 各条评分
披露时间： 公告发布于 2026 年 10 月 28 日；本档按漏报补报
相关公告： Jenkins 安全公告 2026-10-28

---

一、漏洞概述

2026 年 10 月 28 日的 Jenkins 核心公告一次修了多条 High。下面只列对部署影响最大的几类，完整列表见官方公告。

受影响版本：≤ 2.587，以及 LTS ≤ 2.580.1。

---

二、漏洞状态

统计截止： 2026 年 11 月 3 日（UTC+8）

---

三、影响范围

跑着上述版本的 Jenkins 控制器，包括官方镜像 jenkins/jenkins。反序列化与文件读写类问题取决于谁能向控制器提交受影响的数据；首装向导竞态发生在尚未完成初始化的实例上。

---

四、修复建议

每周线升到 2.588。LTS 升到 2.580.2。请固定版本标签，不要写 latest 或 lts。

bash
docker pull docker.xuanyuan.run/jenkins/jenkins:2.588

bash
docker pull docker.xuanyuan.run/jenkins/jenkins:2.580.2-lts

需要特定 JDK 或精简变体时，使用同版本的 -jdk21、-slim、-alpine 等标签，版本号仍须不低于上表。

Docker Hub： jenkins/jenkins

轩辕镜像： jenkins/jenkins

---

五、临时缓解措施

在升级之前，不要把尚未完成首装的控制器暴露到不可信网络，并收紧谁能向控制器提交配置和构建数据。这不能代替 2.588 或 2.580.2。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Jenkins 的版本修复。docker pull docker.xuanyuan.run/jenkins/jenkins:2.588 或 ...:2.580.2-lts 覆盖本批 High。加速拉取 latest / lts 以后可能不再锁定在这两个版本。基于更旧标签二次构建的，要改基础标签后重新构建。

配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Jenkins：安全公告 2026-10-28
• NVD：CVE-2026-117612
• Docker Hub：jenkins/jenkins
• 轩辕站内镜像页：jenkins/jenkins

阅读原文

• 轩辕镜像官方博客

---

轩辕镜像安全团队
2026 年 11 月 3 日