Details zu den Sicherheitsupdates
Das Unternehmen Atlassian gab in seiner Sicherheitsmitteilung für Oktober 2026 die Behebung einer breiten Palette von Sicherheitslücken bekannt, die seine Server- und Datacenter-Produkte betreffen. Die Updates umfassen 75 einzigartige Sicherheitslücken, die alle im Zusammenhang mit Softwarekomponenten von Drittanbietern (Third-party dependencies) stehen und deren Schweregrad zwischen hoch und kritisch reicht.
Von diesen Schwachstellen ist eine breite Palette von Produkten des Unternehmens betroffen, darunter Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible sowie Jira Software und Jira Service Management.
Kritische Schwachstellen und betroffene Komponenten
Von den 75 Schwachstellen wurden 6 als "kritisch" (Critical) eingestuft, die sich auf häufig verwendete Softwarekomponenten verteilen:
- Apache Tomcat: Schwachstellen (CVE-2026-65637, CVE-2026-65182, CVE-2026-68525) betreffen Confluence und Crowd.
- Bouncy Castle: Eine Schwachstelle (CVE-2026-58062) betrifft Confluence, Crowd und Jira.
- Netty: Eine Schwachstelle (CVE-2026-75595) betrifft Confluence und Jira.
- Apache SSHD: Eine Schwachstelle (CVE-2026-77185) betrifft Fisheye/Crucible.
Trotz der Einstufung dieser Schwachstellen als "kritisch" wies Atlassian darauf hin, dass die Verwendung dieser Komponenten in ihren eigenen Umgebungen das tatsächliche Risikoniveau verringert, und betrachtete sie als nicht kritische Risiken für ihre Kunden.
Warum sind diese Nachrichten wichtig?
Die Bedeutung dieses Updates liegt in der Abhängigkeit von weit verbreiteten Open-Source-Softwarebibliotheken wie Jackson, Axios, Spring und Apache Struts. Die Art dieser Schwachstellen variiert zwischen Denial-of-Service-Angriffen (DoS), Verschlüsselungsproblemen, Schwachstellen bei der Authentifizierung und Autorisierung sowie Server-Side Request Forgery (SSRF) und Remote Code Execution.
Obwohl es keine Berichte über eine aktive Ausnutzung dieser Schwachstellen in tatsächlichen Angriffen gibt, fordert das Unternehmen Organisationen auf, ihre Produkte sofort auf die neuesten verfügbaren Versionen zu aktualisieren. Diese Empfehlung erfolgt vor dem Hintergrund der Geschichte des Unternehmens mit früheren Schwachstellen, wie etwa (CVE-2026-21589), die von Angreifern sehr schnell nach der Veröffentlichung des entsprechenden Proof of Concept (PoC) ausgenutzt wurden.