セキュリティアップデートの詳細
Atlassian（アトラスリアン）は、2026年10月のセキュリティアドバイザリにおいて、サーバーおよびデータセンター向けの製品に影響を与える幅広いセキュリティ脆弱性の修正を発表しました。今回のアップデートには75件の固有の脆弱性が含まれており、これらはすべてサードパーティ製のソフトウェアコンポーネント（Third-party dependencies）に関連するもので、その深刻度は高から重大の範囲に及んでいます。
これらの脆弱性の影響を受けたのは、同社のBamboo、Bitbucket、Confluence、Crowd、Fisheye/Crucible、ならびにJira SoftwareおよびJira Service Managementを含む幅広い製品群です。
重大な脆弱性と影響を受けるコンポーネント
75件の脆弱性のうち、6件が「重大（Critical）」に分類されており、一般的に使用されている以下のソフトウェアコンポーネントに分散しています。
- Apache Tomcat: ConfluenceおよびCrowdに影響を与える脆弱性（CVE-2026-65637, CVE-2026-65182, CVE-2026-68525）。
- Bouncy Castle: Confluence、Crowd、およびJiraに影響を与える脆弱性（CVE-2026-58062）。
- Netty: ConfluenceおよびJiraに影響を与える脆弱性（CVE-2026-75595）。
- Apache SSHD: Fisheye/Crucibleに影響を与える脆弱性（CVE-2026-77185）。
これらの脆弱性は「重大」と分類されているものの、Atlassianは、自社の環境におけるこれらのコンポーネントの使用方法により実際の危険性が軽減されるため、顧客にとっても重大ではないリスクであると見なしている旨を指摘しています。
このニュースが重要な理由
このアップデートの重要性は、Jackson、Axios、Spring、Apache Strutsなど、広く普及しているオープンソースのソフトウェアライブラリに依存している点にあります。これらの脆弱性の性質は、サービス妨害（DoS）攻撃、暗号化の問題、認証および認可の不備のほか、サーバーサイドリクエストフォージェリ（SSRF）やリモートコード実行の脆弱性多岐にわたります。
実際の攻撃におけるこれらの脆弱性の積極的な悪用は報告されていませんが、同社は組織に対し、利用可能な最新バージョンへ直ちに製品をアップデートするよう強く促しています。この推奨事項は、概念実証（PoC）の公開後、攻撃者に迅速に悪用された過去の脆弱性（CVE-2026-21589など）に関する同社の歴史を背景に出されています。