A Atlassian publicou na terça-feira o boletim de segurança de outubro de 2026, que lista 162 vulnerabilidades de alta gravidade e 14 de gravidade crítica.
Todas as entradas estão ligadas a dependências de terceiros, e muitos identificadores CVE (sigla de Common Vulnerabilities and Exposures, ou vulnerabilidades e exposições comuns) aparecem em vários produtos. Segundo a contagem da SecurityWeek, o boletim cobre 75 CVEs únicos, sendo seis classificados como críticos.
Os produtos afetados são Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira Software e Jira Service Management.
As falhas de gravidade crítica são:
- CVE-2026-65637, CVE-2026-65182 e CVE-2026-68525 – problemas no Apache Tomcat listados para Confluence e Crowd.
- CVE-2026-58062 – um problema na Bouncy Castle listado para Confluence, Crowd, Jira Software e Jira Service Management.
- CVE-2026-75595 – um problema no Netty listado para Confluence, Jira Software e Jira Service Management.
- CVE-2026-77185 – um problema no Apache SSHD listado para Fisheye/Crucible.
Em relação a cada um deles, a Atlassian observa que o uso do componente afetado “apresenta um risco avaliado como menor, não crítico”.
O portal de divulgação de vulnerabilidades da Atlassian também lista a CVE-2026-65905, falha crítica no Apache Tomcat que afeta Data Center e Crowd, entre os problemas divulgados em 20 de outubro. No entanto, essa CVE não aparece no boletim, e o portal lista menos CVEs únicos do que o boletim.
As demais falhas de alta gravidade afetam bibliotecas de código aberto amplamente utilizadas, incluindo Apache Tomcat, Netty, Bouncy Castle, Jackson, Axios, Spring, Apache Struts e Apache ActiveMQ.
Muitas delas são problemas de negação de serviço (DoS). Outras são descritas como fragilidades criptográficas, problemas de autenticação e autorização, falsificação de requisição do lado do servidor (SSRF), vazamento de informações e falhas que permitem execução de código.
“As CVEs relatadas nos boletins de segurança mensais foram avaliadas como de risco não crítico para os clientes da Atlassian”, afirma a empresa.
A Atlassian não menciona nenhuma dessas vulnerabilidades sendo exploradas em ataques. A empresa recomenda atualizar para as versões mais recentes dos produtos ou para as versões corrigidas listadas no boletim.
As organizações devem manter seus produtos Atlassian atualizados, pois agentes de ameaças costumam explorar rapidamente as vulnerabilidades. Um exemplo é a CVE-2026-21589, falha crítica nos produtos Data Center hospedados em infraestrutura própria da Atlassian, que atacantes passaram a mirar poucas horas após a publicação de uma prova de conceito (PoC, código que demonstra como a falha pode ser explorada).
