2026年11月5日、JPCERT/CCが公開した「Weekly Report」において、Jenkinsに複数の脆弱性が存在することが報告されました。Jenkinsは、ソフトウェアのビルド・テスト・デプロイを自動化するCI/CDツールとして、企業の開発現場やインフラ運用で広く利用されています。ソースコード管理システムやクラウド環境、社内の各種サーバーと連携して動作することが多く、ビジネスのソフトウェア開発プロセス全体の要となっているケースも少なくありません。本件は、開発元であるJenkinsプロジェクトが2026年10月28日付で公開したセキュリティアドバイザリに基づくもので、JPCERT/CCは「この問題は、当該製品を修正済みのバージョンに更新することで解決する」としています。Jenkinsを導入している開発チームやIT管理者は、早めに公式のセキュリティアドバイザリを確認し、自社の対応状況を把握することが推奨されます。
脆弱性の概要と影響を受ける製品
JPCERT/CCのWeekly Reportは、各週に報告された脆弱性情報を要約して周知するものであり、個別の脆弱性に関する詳細なCVE番号や対象バージョン、CVSSスコアなどはこの発表自体には記載されていません。現時点で公式情報として確認できる内容は以下の通りです。
| 項目 | 内容 |
|---|---|
| 対象製品 | Jenkins |
| 公表元 | Jenkinsプロジェクト（JPCERT/CCがWeekly Reportで周知） |
| アドバイザリ公開日 | 2026年10月28日 |
| 脆弱性の件数・CVE番号 | JPCERT/CCの発表には記載なし。詳細はベンダーのセキュリティアドバイザリを確認してください |
| 影響を受けるバージョン | 詳細はベンダーのセキュリティアドバイザリを確認してください |
| 修正バージョン | 詳細はベンダーのセキュリティアドバイザリを確認してください |
| 対応方法 | 修正済みバージョンへの更新 |
具体的にJenkins本体のどの機能が影響を受けるのか、あるいは特定のプラグインが対象なのかといった詳細情報は、Jenkinsプロジェクトが公開しているセキュリティアドバイザリ本体で確認する必要があります。一般的に、Jenkinsのセキュリティアドバイザリでは「Jenkins本体（core）」と「サードパーティ製を含む各種プラグイン」の両方について脆弱性が報告されることが多く、利用している環境によって影響範囲が異なります。導入しているプラグインの種類や数が多い組織ほど、確認すべき項目が増える点にも注意が必要です。
深刻度と悪用状況
脆弱性の深刻度は、一般的にCVSS（共通脆弱性評価システム）スコアで表されます。これは脆弱性が攻撃者にどの程度悪用しやすいか、悪用された場合にシステムへどの程度の影響を及ぼすかを0.0から10.0の数値で示す国際的な指標で、数値が高いほど緊急度の高い対応が求められます。目安として、7.0以上は「重要」、9.0以上は「緊急」に分類されることが多く、スコアが高い脆弱性ほど優先的な対応が推奨されます。今回のJPCERT/CCの発表には、個々の脆弱性に対するCVSSスコアや深刻度の区分は示されておらず、またすでに悪用が確認されたという情報も含まれていません。
ただし、Jenkinsは多くの組織でソースコード管理やビルド・デプロイパイプラインの中核を担うシステムであり、悪用された場合は機密情報の漏えいやビルド成果物の改ざんなど、影響範囲が広がりやすい性質があります。CI/CDパイプラインは認証情報（APIキーやデプロイ用のクレデンシャルなど）を保持していることが多く、ここが侵害されると他システムへの横展開につながるリスクも考えられます。脆弱性情報が公開されると、その情報は攻撃者にも参照されるため、具体的な悪用の有無が不明な段階であっても、放置せず早期に対応を進めることが重要です。
ベンダーはどんな修正を行ったか
Jenkinsプロジェクトは、2026年10月28日付のセキュリティアドバイザリにおいて、今回報告された複数の脆弱性に対する修正を行い、修正済みバージョンを公開しています。JPCERT/CCの発表でも「当該製品を修正済みのバージョンに更新することで解決する」と明記されており、脆弱性の修正は新しいバージョンへのアップデートによって反映される形になっています。
どのコンポーネント（Jenkins本体、あるいは特定のプラグインなど）が対象で、どのバージョンから修正が適用されているかといった具体的な内容は、JPCERT/CCの発表そのものには記載されていません。利用者は、Jenkinsプロジェクトが公開する公式のセキュリティアドバイザリページを直接確認し、自社の環境が対象に含まれるかどうか、修正版へのアップデート手順を確認する必要があります。なお、Jenkinsには長期サポート向けのリリースラインと短い周期で更新される通常のリリースラインが存在するため、自社がどちらの系列を利用しているかによって、更新すべきバージョンの確認方法が異なる点にも留意してください。
CI/CDツールが攻撃対象として狙われる理由
JenkinsのようなCI/CDツールは、近年サプライチェーン攻撃の起点として狙われるケースが増えています。これは、CI/CDツールがソースコードリポジトリや本番環境へのデプロイ権限、クラウドサービスの認証情報など、組織内の重要な資産に広くアクセスできる立場にあるためです。攻撃者にとっては、一度CI/CDツールへの侵入に成功すれば、そこを経由して他のシステムへ侵害を広げたり、ビルドプロセスに悪意あるコードを混入させたりすることが可能になります。そのため、Jenkinsのような中核的な開発基盤ツールについては、脆弱性情報が公開された際に迅速に対応することが、個々のサーバーを守るだけでなく、組織全体のソフトウェア供給網を守ることにも直結します。
今すぐやるべき対策手順
詳細なCVE番号や対象バージョンが公式発表に明記されていない状況であっても、基本的な確認・対応の流れは共通です。以下の手順で進めることを推奨します。
- ①バージョン確認：Jenkins管理画面の「Jenkinsの管理」→「システム情報」などから、現在稼働しているJenkins本体および導入済みプラグインのバージョンを確認する。
- ②公式アドバイザリの確認：Jenkinsプロジェクトが公開している2026年10月28日付のセキュリティアドバイザリを確認し、自社の環境が対象に含まれるか、どのバージョンへ更新すべきかを把握する。
- ③修正済みバージョンへの更新：テスト環境で動作確認を行った上で、本番環境のJenkins本体および関連プラグインを修正済みバージョンへ更新する。更新前には設定やジョブ定義のバックアップを取得しておくと、万一の不具合発生時にも切り戻しがしやすくなる。
- ④回避策の検討：即時のアップデートが難しい場合は、Jenkins管理画面へのアクセスを信頼できるネットワークやVPN経由に限定する、WAF等によるアクセス制限を行う、不要な機能やプラグインを無効化するなど、暫定的なリスク低減策を検討する。
- ⑤侵害有無の確認：Jenkinsのシステムログやアクセスログ、ジョブの実行履歴を確認し、不審なログイン試行やジョブ設定の改ざん、想定外のプラグインインストールなどの痕跡がないかを調査する。
- ⑥権限管理の見直し：今回の対応を機に、Jenkinsの管理者権限やジョブ実行権限が必要最小限の利用者にのみ付与されているかを見直し、権限設計全体の棚卸しを行うことも有効です。
よくある質問
Q1. JenkinsのどのバージョンがCVE番号の対象になっていますか？
A1. JPCERT/CCの発表には、具体的なCVE番号や対象バージョンの記載はありません。詳細はベンダーのセキュリティアドバイザリを確認してください。
Q2. すでに悪用された事例はありますか？
A2. 今回のJPCERT/CCの発表には、悪用が確認されたという情報は含まれていません。ただし状況は今後変わる可能性もあるため、継続して公式情報を確認することをお勧めします。
Q3. Jenkins本体だけ更新すれば十分ですか？
A3. 今回のJPCERT/CCの発表からは、本体とプラグインのどちらが対象かを判断できません。Jenkinsのセキュリティアドバイザリでは本体とプラグインの双方が対象となることが一般的なため、導入している全てのプラグインのバージョンも併せて確認することが望まれます。
まとめ
今回のJPCERT/CCの発表は、Jenkinsに複数の脆弱性が存在し、修正済みバージョンへの更新によって解決するとされていることを伝えるものです。具体的なCVE番号やCVSSスコア、影響を受けるバージョンなどの詳細は、Jenkinsプロジェクトの公式セキュリティアドバイザリで確認する必要があります。Jenkinsを業務で利用している組織は、まず自社のバージョンを確認し、公式情報をもとに優先度の高い対応から進めることが望まれます。CI/CDツールは組織の開発基盤の中核に位置づけられることが多いため、日頃からバージョン管理や権限設計を適切に行い、脆弱性情報が公開された際に迅速に動ける体制を整えておくことが重要です。
