Подробности обновлений безопасности
Компания Atlassian в своем бюллетене по безопасности за октябрь 2026 года объявила об устранении широкого спектра уязвимостей, затрагивающих ее продукты для серверов и центров обработки данных (Data Center). Обновления включают 75 уникальных уязвимостей, все из которых связаны со сторонними программными компонентами (Third-party dependencies), а их степень серьезности варьируется от высокой до критической.
Эти уязвимости затронули широкий спектр продуктов компании, включая Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, а также Jira Software и Jira Service Management.
Критические уязвимости и затронутые компоненты
Из 75 уязвимостей 6 классифицированы как «критические» (Critical) и распределены по широко используемым программным компонентам:
- Apache Tomcat: уязвимости (CVE-2026-65637, CVE-2026-65182, CVE-2026-68525), затрагивающие Confluence и Crowd.
- Bouncy Castle: уязвимость (CVE-2026-58062), затрагивающая Confluence, Crowd и Jira.
- Netty: уязвимость (CVE-2026-75595), затрагивающая Confluence и Jira.
- Apache SSHD: уязвимость (CVE-2026-77185), затрагивающая Fisheye/Crucible.
Несмотря на «критическую» классификацию этих уязвимостей, Atlassian отметила, что использование этих компонентов в ее собственных средах снижает уровень фактического риска, считая их некритическими для своих клиентов.
Почему эта новость важна?
Важность этого обновления заключается в использовании широко распространенных библиотек с открытым исходным кодом, таких как Jackson, Axios, Spring и Apache Struts. Природа этих уязвимостей варьируется от атак типа «отказ в обслуживании» (DoS) и проблем с шифрованием до уязвимостей в аутентификации и авторизации, а также подделки запросов на стороне сервера (SSRF) и удаленного выполнения кода (RCE).
Хотя сообщений об активном использовании этих уязвимостей в реальных атаках не поступало, компания призывает организации немедленно обновить свои продукты до последних доступных версий. Эта рекомендация дана на фоне истории компании с предыдущими уязвимостями, такими как (CVE-2026-21589), которые злоумышленники начали эксплуатировать очень быстро после публикации подтверждения концепции (PoC).