Atlassian публикува своя бюлетин за сигурност за октомври 2026 г., обхващащ 176 записа за уязвимости в продукти, сред които Jira, Confluence, Bamboo, Bitbucket и Crowd.

Публикуваното на 20 октомври обновяване изброява 162 записа с висока степен на сериозност и 14 записа с критична сериозност в компоненти на трети страни. От Atlassian заявяват, че са включили корекции във версиите на продуктите, пуснати миналия месец, и настоятелно призовават клиентите да инсталират подходяща коригирана версия.

Общият брой не трябва да се тълкува като 176 уникални CVE уязвимости, засягащи единствено Jira и Confluence. Официалният бюлетин за сигурност представя констатациите по продукти, като някои CVE идентификатори се срещат в няколко приложения, използващи едни и същи софтуерни библиотеки.

Това означава, че системните администратори трябва да проверят всеки инсталиран продукт, вместо да разглеждат съобщението като единична корекция за сигурност. Ключова уязвимост в Confluence е CVE-2026-65637 – проблем тип „човек по средата“ (man-in-the-middle) в зависимостта Apache Tomcat Coyote с CVSS оценка 9.8.

Други критични записи включват CVE-2026-58062 – криптографски дефект в Bouncy Castle с оценка 9.3, и CVE-2026-75595 – слабост при автентикация и управление на сесиите в Netty с оценка 9.1.

Atlassian публикува обновяване за сигурност

Confluence съдържа и два записа за неправилна оторизация – CVE-2026-65182 и CVE-2026-68525, засягащи зависимостта Tomcat Catalina.

Тези констатации се нареждат до проблеми с висока степен на сериозност, включващи отказ на услуга (DoS), небезопасна обработка на данни, включване на файлове (file inclusion), обхождане на директории (path traversal) и дистанционно изпълнение на код (RCE) в компоненти на трети страни.

Въпреки това степента на сериозност изисква внимателен анализ. Atlassian посочва, че критичните оценки описват уязвимости във външни библиотеки. За разлика от това, начинът, по който компанията използва тези библиотеки в своите продукти, представлява по-нисък, некритичен оценен риск.

Компанията запазва отделните предупреждения за критична сигурност за проблеми, които представляват непосредствен критичен риск за нейните собствени продукти. Следователно оценките на библиотеките не означават, че всяка засегната инсталация на Atlassian е изложена на еднакво ниво на опасност.

За Confluence в бюлетина за сигурност са посочени версии 11.0.0, 10.2.19 LTS и 9.2.26 LTS като коригирани Data Center издания, като се препоръчва 10.2.19 LTS.

Засегнатите клонове включват версии от 10.2.0 до 10.2.18 и от 9.2.0 до 9.2.25, заедно с няколко по-стари издания. Администраторите трябва да сравнят точната си компилация с пълната таблица, вместо да разчитат само на номера на основната версия.

Потребителите на Bamboo са насочени към версии 12.1.12 LTS или 10.2.24 LTS. Корекциите за Bitbucket включват 10.5.1, 10.2.8 LTS и 9.4.26 LTS. Бюлетинът обозначава тези коригирани версии само като Data Center. В заглавията на продуктите се споменава и Server, затова потребителите трябва внимателно да преглеждат етикетите на версиите при планиране на надграждането.

Администраторите на Jira трябва също така да прегледат скорошното обновяване за сигурност на Atlassian, свързано с произволен достъп до файлове. Това отделно предупреждение обхващаше CVE-2026-21589 и дефинираше корекции за Jira Software и Jira Service Management, включително 10.3.26 и 11.3.12. То не трябва да се бърка с констатациите относно зависимостите на трети страни в този месечен бюлетин.

Предишни атаки показват защо забавените обновявания на Confluence заслужават сериозно внимание. Cybersecurity News документира как атакуващи използваха по-стара, отделна уязвимост, CVE-2023-22527, за внедряване на безфайловия заден вход (backdoor) Godzilla. Този случай предоставя исторически контекст, а не доказателство, че нападатели вече експлоатират констатациите от октомври 2026 г.

Atlassian препоръчва преминаване към най-новата версия или към посочена коригирана версия за всеки засегнат продукт. Тъй като таблицата с коригирани версии отразява наличната информация към 20 октомври, клиентите трябва да проверят и бележките към съответните версии, преди да насрочат внедряването. Практическият приоритет е всяко инсталирано приложение да бъде съпоставено с подходящия за него път за инсталиране на корекции за сигурност, включително продуктите, които споделят уязвими библиотеки.