20 października 2026 r. firma Atlassian opublikowała biuletyn bezpieczeństwa, w którym odniosła się do 162 luk o wysokim stopniu zagrożenia oraz 14 luk o krytycznym znaczeniu, występujących w różnych produktach Atlassian z serii Data Center i Server. Problemy te wynikają głównie z zależności od zewnętrznych komponentów (bibliotek firm trzecich) i dotyczą takich produktów jak Confluence, Jira Software, Jira Service Management, Crowd, Bamboo, Bitbucket oraz Fisheye/Crucible.
Choć niektóre luki w zabezpieczeniach mają wskaźnik CVSS na poziomie krytycznym (9,0+), firma Atlassian stwierdza, iż w kontekście sposobu, w jaki podatne na zagrożenia komponenty są wykorzystywane w produktach Atlassian, ryzyko z nimi związane jest niższe i nie ma charakteru krytycznego. Mimo to zaleca się użytkownikom aktualizację dotkniętych lukami instalacji do najnowszej dostępnej wersji lub jednej z wersji poprawionych, wskazanych w biuletynie.
CVE-2026-65637 – CVSS 9.8 (Krytyczna)
Luka typu „man-in-the-middle” (atak typu „człowiek pośrodku”), dotycząca zależności `tomcat-coyote` w serwerze Apache Tomcat, wykorzystywanej w produktach Confluence Data Center oraz Crowd Data Center. Jest to luka z najwyższym wynikiem w skali zagrożeń spośród wszystkich wymienionych w biuletynie. Firma Atlassian zaznacza jednak, iż w rzeczywistych warunkach użytkowania jej stopień ryzyka jest niższy i nie został sklasyfikowany jako krytyczny.
CVE-2026-58062 – CVSS 9.3 (Krytyczna)
Luka kryptograficzna w zależnościach biblioteki Bouncy Castle, dotycząca produktów Confluence Data Center, Crowd Data Center, Jira Software Data Center oraz Jira Service Management Data Center. Firma Atlassian klasyfikuje tę lukę w zależnościach jako krytyczną w skali CVSS, jednocześnie oceniając ryzyko wynikające z jej obecności w wymienionych produktach jako niższe – niekrytyczne.
CVE-2026-75595 – CVSS 9.1 (Krytyczna)
Luka w zależności `netty-handler` biblioteki Netty. W przypadku systemu Confluence jest ona klasyfikowana jako problem związany z nieprawidłowym uwierzytelnianiem i zarządzaniem sesją (Broken Authentication & Session Management), natomiast w odniesieniu do Jira Software oraz Jira Service Management – jako możliwość zdalnego wykonania kodu (Remote Code Execution – RCE). Firma Atlassian ponownie podkreśla, iż w jej aplikacjach sposób wykorzystania tej zależności wiąże się z niższym poziomem ryzyka, które nie jest uznawane za krytyczne.
CVE-2026-65182 / CVE-2026-68525 – CVSS 9.1 (Krytyczna)
Luki związane z nieprawidłową autoryzacją w zależności `tomcat-catalina` serwera Apache Tomcat, mające wpływ na produkty Confluence Data Center oraz Crowd Data Center. Zgodnie z punktacją CVSS, podatności te zostały sklasyfikowane jako krytyczne, choć firma Atlassian ocenia ryzyko dla swoich produktów jako niższe i niekrytyczne.
CVE-2026-77185 – CVSS 9.1 (Krytyczna)
Luka w zabezpieczeniach dotycząca nieprawidłowego uwierzytelniania i zarządzania sesjami (Broken Authentication & Session Management) występuje w zależności „sshd-core” biblioteki Apache SSHD, z której korzystają produkty Fisheye/Crucible. W biuletynie wskazano, iż jest to podatność zewnętrznego komponentu, a rzeczywiste ryzyko dla samego produktu oceniono jako niższe i niekrytyczne.
Biuletyn zawiera również liczne podatności o wysokim stopniu zagrożenia (wynik w skali CVSS: 7,0–8,7), obejmujące m.in. zdalne wykonanie kodu (RCE), eskalację uprawnień, niezabezpieczoną deserializację, SSRF, przechodzenie po ścieżkach (path traversal), ujawnienie informacji, słabości kryptograficzne, problemy z uwierzytelnianiem lub zarządzaniem sesją, a także szereg podatności prowadzących do odmowy usługi (DoS) w produktach firmy Atlassian.
