보안 업데이트 상세 내용
아틀라시안(Atlassian)은 2026년 10월 보안 권고를 통해 자사의 서버 및 데이터 센터용 제품에 영향을 미치는 광범위한 보안 취약점을 해결했다고 발표했다. 이번 업데이트에는 총 75개의 고유한 보안 취약점이 포함되었으며, 이는 모두 제3자 소프트웨어 구성 요소(Third-party dependencies)와 관련이 있다. 취약점의 심각도는 높음(High)에서 치명적(Critical) 수준까지 다양하다.
이번 취약점의 영향을 받는 제품군은 Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible을 비롯해 Jira Software 및 Jira Service Management 등 광범위하다.
치명적 취약점 및 영향받는 구성 요소
75개의 취약점 중 6개는 "치명적"(Critical)으로 분류되었으며, 다음과 같이 널리 사용되는 소프트웨어 구성 요소에 분포되어 있다.
- Apache Tomcat: Confluence 및 Crowd에 영향을 미치는 취약점(CVE-2026-65637, CVE-2026-65182, CVE-2026-68525).
- Bouncy Castle: Confluence, Crowd, Jira에 영향을 미치는 취약점(CVE-2026-58062).
- Netty: Confluence 및 Jira에 영향을 미치는 취약점(CVE-2026-75595).
- Apache SSHD: Fisheye/Crucible에 영향을 미치는 취약점(CVE-2026-77185).
아틀라시안은 이러한 취약점들이 "치명적"으로 분류되었음에도 불구하고, 자사 환경 내에서의 해당 구성 요소 사용 방식 덕분에 실제 위험 수준은 낮아졌으며 고객들에게는 치명적이지 않은 위험으로 간주된다고 언급했다.
이 소식이 중요한 이유
이번 업데이트의 중요성은 Jackson, Axios, Spring, Apache Struts와 같이 널리 보급된 오픈 소스 소프트웨어 라이브러리에 의존하고 있다는 점에 있다. 이러한 취약점의 유형은 서비스 거부(DoS) 공격, 암호화 문제, 인증 및 권한 부여 결함부터 서버 측 요청 위조(SSRF) 및 원격 코드 실행(RCE)까지 다양하다.
현재까지 이러한 취약점이 실제 공격에 악용되었다는 보고는 없으나, 아틀라시안은 기업들이 즉시 최신 버전으로 제품을 업데이트할 것을 촉구하고 있다. 이러한 권고는 개념 증명(PoC) 코드가 공개된 후 공격자들이 매우 빠르게 악용했던 과거의 취약점(예: CVE-2026-21589) 사례를 염두에 둔 것이다.