漏洞类型	反序列化	发现时间	2026-08-06	漏洞等级	严重
MPS编号	MPS-eg5n-ucol	CVE编号	CVE-2026-70426	漏洞影响广度	广

目录隐藏

2.1 OSCS 平台影响范围和处置方案

3 排查方式

漏洞危害

OSCS 描述

Jenkins 是开源持续集成/持续交付平台，控制器与 agent 之间通过 Remoting 库以 Java 序列化对象通信，并依赖 JEP-200 类过滤降低反序列化风险。
受影响版本中，Remoting 在 ObjectInputStreamEx.resolveClass 与 MultiClassLoaderSerializer 的 resolveClass 实现里，主路径会调用 channel.classFilter / filter.check，但在 ClassNotFoundException 后的 fallback 直接 return super.resolveClass(desc)，未再套用 JEP-200 类过滤。具备 Agent/Connect 权限的攻击者、被控 agent 进程或 agent 上运行的代码可借此在控制器侧反序列化 Jenkins 核心类路径上的类（不含插件依赖，且仍受 pre-JEP-200 拒绝列表限制），从而可能在控制器上执行代码。
修复版本中通过将 fallback 改为 return filter.check(super.resolveClass(desc))（MultiClassLoaderSerializer 侧为 channel.classFilter.check），使后备解析路径同样强制类过滤，并在 ClassFilterTest 中增加 SECURITY-3911 回归用例。
参考链接：https://www.oscs1024.com/hd/MPS-eg5n-ucol

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围	处置方式	处置方法
jenkins (-∞,2.568.2)	升级	将组件 jenkins 升级至 2.568.2 及以上版本
jenkins [2.569,2.576)	升级	将组件 jenkins 升级至 2.576 及以上版本
org.jenkins-ci.main:remoting (-∞,3355.3357.v931d3c992987)	升级	将组件 org.jenkins-ci.main:remoting 升级至 3355.3357.v931d3c992987 及以上版本
org.jenkins-ci.main:remoting [3356,3385.vf1123fb_515da_)	升级	将组件 org.jenkins-ci.main:remoting 升级至 3385.vf1123fb_515da_ 及以上版本
org.jenkins-ci.main:jenkins-core (-∞,2.568.2)	升级	将组件 org.jenkins-ci.main:jenkins-core 升级至 2.568.2 及以上版本
org.jenkins-ci.main:jenkins-core [2.569,2.576)	升级	将组件 org.jenkins-ci.main:jenkins-core 升级至 2.576 及以上版本
参考链接：https://www.oscs1024.com/hd/MPS-eg5n-ucol