Un aviso de seguridad crítico aborda múltiples vulnerabilidades de alta gravedad en el núcleo de Jenkins y el complemento LoadNinja. Emitido el 18 de marzo de 2026, la alerta advierte que estas fallas podrían permitir a los atacantes ejecutar código arbitrario y comprometer por completo las canalizaciones de integración continua y despliegue continuo (CI/CD). La vulnerabilidad más grave, registrada como CVE-2026-33001, proviene de la forma en que Jenkins maneja los enlaces simbólicos 

Un aviso crítico de seguridad aborda múltiples vulnerabilidades de alta gravedad en el núcleo de Jenkins y el plugin de LoadNinja.

Emitido el 18 de marzo de 2026, la alerta advierte que estas fallas podrían permitir a los atacantes ejecutar código arbitrario y comprometer por completo las canalizaciones de integración continua y despliegue continuo.​

La falla más grave, identificada como CVE-2026-33001, proviene de cómo Jenkins maneja los enlaces simbólicos al extraer archivos .tar y .tar.gz.

Los atacantes con permisos de configuración de elementos pueden crear archivos maliciosos para escribir en ubicaciones arbitrarias del sistema de archivos.

Dado que esta extracción ocurre directamente en el controlador, los actores de amenazas pueden escribir scripts maliciosos en el directorio init.groovy.d/ o desplegar plugins fraudulentos en la carpeta plugins/.

Esto finalmente otorga capacidades completas de ejecución remota de código. Funciones como la acción posterior a la compilación "Archivar los artefactos" y ciertos pasos de las canalizaciones dependen en gran medida de esta funcionalidad vulnerable.​

Vulnerabilidad de secuestro de WebSocket

Una segunda vulnerabilidad de alta gravedad, identificada como CVE-2026-33002, implica una fallo de rebinding de DNS en la validación de origen de la interfaz de línea de comandos WebSocket.

Jenkins depende de los encabezados de las solicitudes HTTP para calcular los orígenes esperados. Los atacantes pueden eludir esta validación engañando a una víctima para que visite un sitio web malicioso que resuelva a la dirección IP del controlador de Jenkins.

Esto establece una conexión WebSocket no autorizada al punto final de la CLI. Si el entorno de Jenkins permite permisos de usuario anónimo y opera sobre HTTP sin cifrar, los atacantes pueden ejecutar comandos de la CLI.

Dependiendo del nivel de acceso del usuario anónimo, esto puede resultar en la ejecución de scripts Groovy y la posterior ejecución remota de código.​

El plugin expone claves API

Además de las vulnerabilidades principales, el aviso destacó un problema de gravedad media dentro del plugin LoadNinja.

Registrado bajo CVE-2026-33003 por almacenamiento inseguro y CVE-2026-33004 por falta de enmascaramiento, el plugin almacenaba históricamente claves API en formato no cifrado dentro de los archivos de configuración de los trabajos.

Además, la interfaz de configuración no enmascaraba estas credenciales, dejándolas expuestas a cualquier usuario con permisos de lectura extendidos o acceso al sistema de archivos.​

Según el aviso de seguridad del Proyecto Jenkins, los administradores deben actualizar a Jenkins 2.555 (versión semanal) o 2.541.3 (LTS), y actualizar el plugin LoadNinja a la versión 2.2 si no es posible aplicar el parche de inmediato.

Las organizaciones pueden implementar soluciones temporales para la falla de rebinding de DNS configurando una autenticación estricta para el controlador y eliminando por completo los permisos para el usuario anónimo.