Detalles de las actualizaciones de seguridad
La empresa Atlassian anunció en su boletín de seguridad de octubre de 2026 la corrección de una amplia gama de vulnerabilidades de seguridad que afectan a sus productos orientados a servidores y centros de datos. Las actualizaciones incluyeron 75 vulnerabilidades de seguridad únicas, todas relacionadas con componentes de software de terceros (Third-party dependencies), cuya gravedad oscila entre alta y crítica.
Una amplia gama de productos de la empresa se vio afectada por estas vulnerabilidades, incluyendo Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, además de Jira Software y Jira Service Management.
Vulnerabilidades críticas y componentes afectados
De las 75 vulnerabilidades, 6 fueron clasificadas como "críticas" (Critical) y se distribuyen entre componentes de software de uso común:
- Apache Tomcat: Vulnerabilidades (CVE-2026-65637, CVE-2026-65182, CVE-2026-68525) que afectan a Confluence y Crowd.
- Bouncy Castle: Vulnerabilidad (CVE-2026-58062) que afecta a Confluence, Crowd y Jira.
- Netty: Vulnerabilidad (CVE-2026-75595) que afecta a Confluence y Jira.
- Apache SSHD: Vulnerabilidad (CVE-2026-77185) que afecta a Fisheye/Crucible.
A pesar de la clasificación "crítica" de estas vulnerabilidades, Atlassian indicó que su uso de estos componentes en sus propios entornos reduce el nivel de riesgo real, considerándolos riesgos no críticos para sus clientes.
¿Por qué es importante esta noticia?
La importancia de esta actualización radica en su dependencia de bibliotecas de código abierto ampliamente utilizadas como Jackson, Axios, Spring y Apache Struts. La naturaleza de estas vulnerabilidades varía entre ataques de denegación de servicio (DoS), problemas de cifrado, fallos de autenticación y autorización, además de vulnerabilidades de falsificación de solicitudes del lado del servidor (SSRF) y ejecución remota de código.
Aunque no se han reportado informes de explotación activa de estas vulnerabilidades en ataques reales, la empresa insta a las organizaciones a actualizar sus productos de inmediato a las últimas versiones disponibles. Esta recomendación surge a la luz del historial de la empresa con vulnerabilidades anteriores, como (CVE-2026-21589), que fue explotada rápidamente por los atacantes tras la publicación de su prueba de concepto (PoC).