| 漏洞类型 | 反序列化 | 发现时间 | 2026-08-06 | 漏洞等级 | 严重 |
| MPS编号 | MPS-eg5n-ucol | CVE编号 | CVE-2026-70426 | 漏洞影响广度 | 广 |
漏洞危害
| OSCS 描述 |
| Jenkins 是开源持续集成/持续交付平台，控制器与 agent 之间通过 Remoting 库以 Java 序列化对象通信，并依赖 JEP-200 类过滤降低反序列化风险。 受影响版本中，Remoting 在 ObjectInputStreamEx.resolveClass 与 MultiClassLoaderSerializer 的 resolveClass 实现里，主路径会调用 channel.classFilter / filter.check，但在 ClassNotFoundException 后的 fallback 直接 return super.resolveClass(desc)，未再套用 JEP-200 类过滤。具备 Agent/Connect 权限的攻击者、被控 agent 进程或 agent 上运行的代码可借此在控制器侧反序列化 Jenkins 核心类路径上的类（不含插件依赖，且仍受 pre-JEP-200 拒绝列表限制），从而可能在控制器上执行代码。 修复版本中通过将 fallback 改为 return filter.check(super.resolveClass(desc))（MultiClassLoaderSerializer 侧为 channel.classFilter.check），使后备解析路径同样强制类过滤，并在 ClassFilterTest 中增加 SECURITY-3911 回归用例。 参考链接：https://www.oscs1024.com/hd/MPS-eg5n-ucol |
影响范围及处置方案
OSCS 平台影响范围和处置方案
| 影响范围 | 处置方式 | 处置方法 |
| jenkins (-∞,2.568.2) | 升级 | 将组件 jenkins 升级至 2.568.2 及以上版本 |
| jenkins [2.569,2.576) | 升级 | 将组件 jenkins 升级至 2.576 及以上版本 |
| org.jenkins-ci.main:remoting (-∞,3355.3357.v931d3c992987) | 升级 | 将组件 org.jenkins-ci.main:remoting 升级至 3355.3357.v931d3c992987 及以上版本 |
| org.jenkins-ci.main:remoting [3356,3385.vf1123fb_515da_) | 升级 | 将组件 org.jenkins-ci.main:remoting 升级至 3385.vf1123fb_515da_ 及以上版本 |
| org.jenkins-ci.main:jenkins-core (-∞,2.568.2) | 升级 | 将组件 org.jenkins-ci.main:jenkins-core 升级至 2.568.2 及以上版本 |
| org.jenkins-ci.main:jenkins-core [2.569,2.576) | 升级 | 将组件 org.jenkins-ci.main:jenkins-core 升级至 2.576 及以上版本 |
| 参考链接：https://www.oscs1024.com/hd/MPS-eg5n-ucol | ||
排查方式
| 方式1：使用漏洞检测CLI工具来排查使用文档：https://www.murphysec.com/docs/faqs/integration/cli.html |
| 方式2：使用漏洞检测IDEA插件排查使用文档：https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html |
| 方式3：接入GitLab进行漏洞检测排查使用文档：https://www.murphysec.com/docs/faqs/integration/gitlab.html |
| 更多排查方式：https://www.murphysec.com/docs/faqs/integration/ |
本文参考链接
https://www.oscs1024.com/hd/MPS-eg5n-ucol
https://nvd.nist.gov/vuln/detail/CVE-2026-70426
https://www.jenkins.io/security/advisory/2026-08-05/#SECURITY-3911
https://github.com/jenkinsci/remoting/commit/f1123fb515da74560db60645539019cfa77bce49
