Atlassianは火曜日、2026年10月のセキュリティ速報を公開しました。速報には、重大度「高」の脆弱性162件と、重大度「クリティカル」の脆弱性14件が掲載されています。
掲載されたすべての項目はサードパーティ製の依存コンポーネントに起因するもので、多くのCVEが複数の製品にまたがって掲載されています。SecurityWeekの集計では、速報に含まれるCVEは重複を除いて75件で、そのうち6件がクリティカルに分類されています。
影響を受ける製品は、Bamboo、Bitbucket、Confluence、Crowd、Fisheye/Crucible、Jira Software、Jira Service Managementです。
クリティカルの脆弱性は次のとおりです。
- CVE-2026-65637、CVE-2026-65182、CVE-2026-68525 – ConfluenceとCrowdに掲載されたApache Tomcatの問題
- CVE-2026-58062 – Confluence、Crowd、Jira Software、Jira Service Managementに掲載されたBouncy Castleの問題
- CVE-2026-75595 – Confluence、Jira Software、Jira Service Managementに掲載されたNettyの問題
- CVE-2026-77185 – Fisheye/Crucibleに掲載されたApache SSHDの問題
Atlassianは、これらの脆弱性のいずれについても、同社での対象コンポーネントの使用方法は「評価上のリスクがより低く、クリティカルではない」としています。
Atlassianの脆弱性開示ポータルには、10月20日に開示された問題として、Data CenterとCrowdに影響するクリティカルなApache Tomcatの脆弱性「CVE-2026-65905」も掲載されています。ただし、このCVEは速報には記載されていません。また、ポータルに掲載されたCVEの数（重複を除く）は、速報より少なくなっています。
残る重大度「高」の脆弱性は、Apache Tomcat、Netty、Bouncy Castle、Jackson、Axios、Spring、Apache Struts、Apache ActiveMQなど、広く使われているオープンソースライブラリに影響します。
その多くはサービス拒否（DoS）の問題です。そのほかに、暗号の脆弱性、認証・認可の問題、サーバサイドリクエストフォージェリ（SSRF）、情報漏えい、コード実行のバグなどがあります。
Atlassianは「月次セキュリティ速報で報告されるCVEは、Atlassianの顧客にとってクリティカルではないリスクと評価されています」と説明しています。
同社は、これらの脆弱性が攻撃で悪用されたとは述べていません。最新バージョンへの更新、または速報に記載された修正版へのアップデートを推奨しています。
攻撃者は脆弱性をすぐに悪用することが多いため、各組織はAtlassian製品を常に最新の状態に保つ必要があります。一例が、Atlassianのセルフホスト型Data Center製品に影響するクリティカルな脆弱性「CVE-2026-21589」です。この脆弱性は、PoC（概念実証コード）の公開から数時間のうちに攻撃者に狙われ始めました。
