Das Jenkins-Projekt hat am 2. September 2026 ein groß angelegtes Sicherheitsupdate veröffentlicht, das mehr als 30 Schwachstellen im weit verbreiteten CI/CD-Server und seinen Plugins beseitigt. Gleich mehrere Lücken sind mit einem CVSS-Wert von 9.9 als kritisch eingestuft und ermöglichen aus der Ferne die Ausführung von Schadcode (Remote Code Execution).
Die gefährlichste Lücke im Detail
Am schwersten wiegt CVE-2026-84645 (CVSS 9.9): Über eine Schwäche bei der Deserialisierung lassen sich serialisierte Objekte so verschachteln, dass Angreifer Zugriff auf die eigentlich geschützte Script Console erhalten – und damit beliebigen Code auf dem Controller ausführen können. Betroffen sind Jenkins 2.579 und älter sowie die LTS-Linie bis 2.568.2. Ebenfalls kritisch: CVE-2026-84647 (fehlerhafte Objekt-Instanziierung), CVE-2026-84670 im Performance-Plugin und CVE-2026-84671 im File-Parameter-Plugin.
Warum das Homelabs und Selfhoster trifft
Jenkins ist in vielen Homelabs, Docker-Setups und Firmen-Pipelines der zentrale Automatisierungsknoten – oft mit weitreichenden Zugriffsrechten und teils unbedacht im Netz erreichbar. Eine RCE auf dem Controller bedeutet in der Praxis den vollständigen Kompromiss der Build-Umgebung samt hinterlegter Secrets.
Das ist jetzt zu tun
Administratoren sollten umgehend auf Jenkins 2.580 beziehungsweise LTS 2.568.3 aktualisieren und alle betroffenen Plugins nachziehen. Wo ein sofortiges Update nicht möglich ist, hilft es, die Jenkins-Oberfläche nicht öffentlich erreichbar zu machen und Zugriffe strikt einzuschränken.
Quelle: Jenkins Security Advisory 2026-09-02
