Détails des mises à jour de sécurité
La société Atlassian a annoncé dans son bulletin de sécurité d'octobre 2026 la correction d'un large éventail de vulnérabilités de sécurité affectant ses produits destinés aux serveurs et aux centres de données. Les mises à jour incluent 75 vulnérabilités de sécurité uniques, toutes liées à des composants logiciels tiers (Third-party dependencies), dont la gravité varie entre élevée et critique.
Un large éventail de produits de l'entreprise a été touché par ces vulnérabilités, notamment Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, ainsi que Jira Software et Jira Service Management.
Vulnérabilités critiques et composants affectés
Parmi les 75 vulnérabilités, 6 ont été classées comme "critiques" (Critical) et sont réparties sur des composants logiciels couramment utilisés :
- Apache Tomcat : vulnérabilités (CVE-2026-65637, CVE-2026-65182, CVE-2026-68525) affectant Confluence et Crowd.
- Bouncy Castle : vulnérabilité (CVE-2026-58062) affectant Confluence, Crowd et Jira.
- Netty : vulnérabilité (CVE-2026-75595) affectant Confluence et Jira.
- Apache SSHD : vulnérabilité (CVE-2026-77185) affectant Fisheye/Crucible.
Malgré la classification "critique" de ces vulnérabilités, Atlassian a indiqué que son utilisation de ces composants dans ses propres environnements réduit le niveau des risques réels, les considérant comme des risques non critiques pour ses clients.
Pourquoi cette nouvelle est importante ?
L'importance de cette mise à jour réside dans sa dépendance à l'égard de bibliothèques logicielles open source largement répandues telles que Jackson, Axios, Spring et Apache Struts. La nature de ces vulnérabilités varie entre des attaques par déni de service (DoS), des problèmes de chiffrement, des failles d'authentification et d'autorisation, ainsi que des failles de falsification de requêtes côté serveur (SSRF) et d'exécution de code à distance.
Bien qu'aucun rapport ne fasseétat d'une exploitation active de ces vulnérabilités dans des attaques réelles, l'entreprise exhorte les organisations à mettre immédiatement à jour leurs produits vers les dernières versions disponibles. Cette recommandation intervient dans le contexte de l'historique de l'entreprise concernant des vulnérabilités antérieures, telles que (CVE-2026-21589), que les attaquants ont exploitées très rapidement après la publication de leur preuve de concept (PoC).