Jenkinsのデシリアライズの脆弱性CVE-2026-53435の悪用
Jenkins Projectの2026年6月10日のアドバイザリによると、Jenkins（core）には、攻撃者が送ったconfig.xmlからcoreかプラグインで定義された任意の型をデシリアライズさせられる脆弱性CVE-2026-53435がある［1］。6月15日にはDaily CyberSecurityが、この脆弱性の実環境での悪用を報じた［8］。CISAのKEVカタログの11月3日版には載っていない［7］。
脆弱性の内容
Jenkins Projectはアドバイザリで、Jenkinsがエージェントとコントローラーの通信（Remotingライブラリ）や、設定とビルドのデータの読み書き（XStream）でシリアライズとデシリアライズを使うと説明した［1］。デシリアライズの脆弱性への備えとして、coreかプラグインで定義された型と明示的に許可した型だけを通すフィルタ（JEP-200）を置いている［1］。HTTP要求の処理にはStapler Webフレームワークを使い、2018年以降は要求のルーティングをcoreかプラグインで定義された型に限っている［1］。この脆弱性は、欧州委員会が支援するJenkinsのバグバウンティプログラムを通じて報告された［1］。
悪用の条件として、Jenkins ProjectはOverall/Read権限に加え、匿名でないユーザーアカウントか、config.xmlをPOSTできる権限（Item/Configure・View/Configure・Agent/Configureなど）の少なくとも一方を挙げた［1］。攻撃者は任意のユーザーになりすましてHTTP要求を送ることができ、スクリプトコンソールで任意のコードを実行するところまで至りうる［1］。コントローラーの任意のファイルを読むこともできる［1］。ほかにも悪用の方法がありうるとして、Jenkins Projectは挙げた一覧を網羅的でないとした［1］。
Jenkins Projectの脆弱性の解説ページによると、$JENKINS_HOME/secrets/のファイルの中身を読まれると、Resource Root URLや「Remember me」のCookieの偽造を通じた遠隔コード実行に至りうる［9］。どの経路にも、成立に要る条件を挙げている［9］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Jenkins Project | アドバイザリを公開し、修正したweeklyとLTSをリリースした | ［1、2、3］ |
| 2026年 | CloudBees | CloudBees CIへの影響と修正版をアドバイザリで示した | ［12］ |
| 2026年 | CISA | CVE記録のSSVCで、悪用の状況（Exploitation）をnone、自動化の可否（Automatable）をno、技術的な影響（Technical Impact）をtotalとした | ［5］ |
| 2026年 | Canadian Centre for Cyber Security | AV26-578でJenkinsのアドバイザリの公開を伝え、更新の適用を促した | ［13］ |
| 2026年 | Daily CyberSecurity | Defusedの観測を基に、実環境での悪用を報じた | ［8］ |
| 2026年 | HKCERT | CVE-2026-53435〜53442を挙げた告知を出した | ［14］ |
| 2026年 | Red Hat | OpenShift Developer Tools and Servicesのjenkinsコンテナイメージの修正を出した | ［4］ |
| 2026年 | Jenkins Project | 一部のコンバーターはコレクションの要素の型を制限している（SECURITY-3707を参照）がすべてではないとして、SECURITY-4225（CVE-2026-117613）を公表した | ［10］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Jenkins weekly | 2.567まで | 2.568 | ［1］ |
| Jenkins LTS | 2.555.2まで | 2.555.3 | ［1］ |
| CloudBees CI | 2.555.2.36756以前 | 2.555.3.36983（Traditional Platforms、Cloud Platforms） | ［12］ |
| OpenShift Developer Tools and Services 4.12〜4.22のjenkinsコンテナイメージ | - | RHSA-2026:60247ほか10件 | ［4］ |
Jenkins Projectは、特に断りのない限り、修正版より前の版はすべて影響を受けるとした［1］。
悪用の状況
Daily CyberSecurityは、脅威情報企業のDefusedの報告として、同社のハニーポットが公表から数時間のうちに〔注2〕悪用の試みを記録し始めたと報じた［8］。記事は、DefusedのXへの観測の投稿が活動をCVE-2026-53435に直接結び付けているとして、その投稿にリンクした［8］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| リクエスト | GET /view/rqdtumqy/properties/0/etc/passwd HTTP/1.1 | Defused | ［8］ |
| 宛先のポート | 443 | Defused | ［8］ |
| おとりの種類 | Jenkins Server | Defused | ［8］ |
| 関連付けの表示 | ASSOCIATED WITH CVE-2026-53435 | Defused | ［8］ |
10月26日に更新されたNVDの記録に、CISAのKEVへの追加日（cisaExploitAdd）の項目は無い［6］。
修正と回避策
Jenkins Projectのアドバイザリでは、修正版は該当するデシリアライズで許す型を想定した型に制限する［1］。CloudBeesはアドバイザリで、CloudBees CIへの影響の深刻度をHighとし、その修正版も同じように型を制限するとした［12］。
Jenkins Projectはステータスページで、ci.jenkins.ioのコントローラーをアドバイザリに伴う更新のため6月10日11時30分（UTC）に止めると告知した［11］。42分の停止の後、core 2.555.3で稼働した［11］。
未公表の事項
- 攻撃の経路と被害を受けた組織
- 悪用による被害の件数
- 攻撃者の帰属
- Jenkins Projectによる悪用の有無の評価
注
出典
当事者
- ［1］Jenkins Project『Jenkins Security Advisory 2026-06-10』（2026年6月10日公開）
- ［2］Jenkins Project『Changelog（weekly）2.568』（2026年6月10日公開）
- ［3］Jenkins Project『LTS Changelog 2.555.3』（2026年6月10日公開）
- ［10］Jenkins Project『Jenkins Security Advisory 2026-10-28』（2026年10月28日公開）
- ［11］Jenkins Project『Maintenance on ci.jenkins.io (Security Advisory)』（2026年6月10日公開、2026年6月11日更新）
関係組織
- ［4］Red Hat, Inc.『CVE-2026-53435』（2026年6月10日公開）
- ［12］CloudBees, Inc.『CloudBees Security Advisory 2026-06-10』（2026年6月10日公開）
公的機関
- ［5］CVE Program『CVE-2026-53435』（2026年6月10日公開、2026年9月9日更新）
- ［6］National Institute of Standards and Technology『CVE-2026-53435』（2026年6月10日公開、2026年10月26日更新）
- ［7］Cybersecurity and Infrastructure Security Agency『CISA Catalog of Known Exploited Vulnerabilities（catalogVersion 2026.11.03）』（2026年11月3日公開）
- ［13］Canadian Centre for Cyber Security『Jenkins security advisory (AV26-578)』（2026年6月10日公開）
- ［14］Hong Kong Computer Emergency Response Team Coordination Centre『Jenkins Multiple Vulnerabilities』（2026年6月17日公開）
報道機関
- ［8］Daily CyberSecurity『Jenkins RCE Vulnerability CVE-2026-53435 Now Under Active Exploitation』（2026年6月15日公開）
背景資料
- ［9］Jenkins Project『Vulnerabilities and Scoring（Reading Files）』（公開日不明、2026年11月4日閲覧）
更新記録
- 2026年6月16日：公開した。
- 2026年6月17日：HKCERTの6月17日の告知（出典14）を加え、「時系列」と注1を改めた。
- 2026年8月26日：Red Hat, Inc.のCVEのデータ（出典4）に加わったOpenShift Developer Tools and Servicesの修正を「時系列」と「対象の製品と版」に加えた。
- 2026年9月9日：CVE Programの記録の9月9日の更新（出典5）に合わせ、「脆弱性の内容」の表を改めた。
- 2026年10月26日：NVDの記録の10月26日の更新（出典6）を「悪用の状況」に加えた。
- 2026年10月28日：Jenkins Projectの10月28日のアドバイザリ（出典10）を加え、「時系列」を改めた。
- 2026年11月3日：CISAのKEVカタログの11月3日版（出典7）を加え、リードの最後の文を改めた。