Detalhes das atualizações de segurança
A empresa Atlassian anunciou em seu boletim de segurança de outubro de 2026 a correção de uma ampla gama de vulnerabilidades de segurança que afetam seus produtos voltados para servidores e centros de dados. As atualizações incluíram 75 vulnerabilidades de segurança exclusivas, todas relacionadas a componentes de software de terceiros (Third-party dependencies), com gravidade variando entre alta e crítica.
Uma ampla gama de produtos da empresa foi afetada por essas vulnerabilidades, incluindo Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, além do Jira Software e Jira Service Management.
Vulnerabilidades críticas e componentes afetados
Das 75 vulnerabilidades, 6 foram classificadas como "críticas" (Critical), distribuídas em componentes de software comumente usados:
- Apache Tomcat: vulnerabilidades (CVE-2026-65637, CVE-2026-65182, CVE-2026-68525) que afetam o Confluence e o Crowd.
- Bouncy Castle: vulnerabilidade (CVE-2026-58062) que afeta o Confluence, o Crowd e o Jira.
- Netty: vulnerabilidade (CVE-2026-75595) que afeta o Confluence e o Jira.
- Apache SSHD: vulnerabilidade (CVE-2026-77185) que afeta o Fisheye/Crucible.
Apesar da classificação "crítica" dessas vulnerabilidades, a Atlassian observou que o uso desses componentes em seus próprios ambientes reduz o nível de risco real, considerando-os riscos não críticos para seus clientes.
Por que esta notícia é importante?
A importância desta atualização reside na sua dependência de bibliotecas de software de código aberto amplamente utilizadas, como Jackson, Axios, Spring e Apache Struts. A natureza dessas vulnerabilidades varia entre ataques de negação de serviço (DoS), problemas de criptografia, falhas de autenticação e autorização, além de vulnerabilidades de falsificação de solicitação do lado do servidor (SSRF) e execução remota de código.
Embora não existam relatos de exploração ativa dessas vulnerabilidades em ataques reais, a empresa insta as organizações a atualizarem seus produtos imediatamente para as versões mais recentes disponíveis. Esta recomendação surge à luz do histórico da empresa com vulnerabilidades anteriores, como a (CVE-2026-21589), que foi explorada por invasores muito rapidamente após a publicação de sua prova de conceito (PoC) específica.