Atlassian 10月安全公告修复75个第三方依赖漏洞

资讯专家

概述
Atlassian 已发布 2026 年 10 月安全公告，面向 Data Center 与 Server 产品修复第三方依赖中的漏洞。公告共列出 176 条漏洞条目，其中 162 条为高危、14 条为严重；按 SecurityWeek 统计，公告覆盖 75 个唯一 CVE，其中 6 个为严重。受影响产品包括 Bamboo、Bitbucket、Confluence、Crowd、Fisheye/Crucible、Jira Software 和 Jira Service Management。

严重漏洞
公告列出的严重 CVE 包括：CVE-2026-65637、CVE-2026-65182、CVE-2026-68525（Apache Tomcat，涉及 Confluence 和 Crowd）；CVE-2026-58062（Bouncy Castle，涉及 Confluence、Crowd、Jira Software、Jira Service Management）；CVE-2026-75595（Netty，涉及 Confluence、Jira Software、Jira Service Management）；CVE-2026-77185（Apache SSHD，涉及 Fisheye/Crucible）。Atlassian 对上述条目均说明，受影响的第三方组件在其产品中的实际使用被评估为较低的非关键风险。

披露差异
另外，Atlassian 漏洞披露门户还列出 CVE-2026-65905，这是一个影响 Data Center 和 Crowd 的 Apache Tomcat 严重漏洞，披露日期为 10 月 20 日；但该 CVE 未出现在本月公告中，门户列出的唯一 CVE 数量也少于公告。

其他高危漏洞
其余高危漏洞涉及 Apache Tomcat、Netty、Bouncy Castle、Jackson、Axios、Spring、Apache Struts、Apache ActiveMQ 等常用开源库。漏洞类型包括拒绝服务（DoS）、加密弱点、认证与授权问题、SSRF、信息泄露和代码执行等。

处置建议
Atlassian 表示，月度安全公告中的 CVE 被评估为对 Atlassian 客户呈现非关键风险，且未提及这些漏洞已被在野利用。建议用户升级到最新产品版本或公告中列出的修复版本。组织应保持 Atlassian 产品更新，因为威胁行为者常在 PoC 发布后快速利用漏洞；例如 CVE-2026-21589 是 Atlassian 自托管 Data Center 产品中的严重漏洞，在 PoC 公开后数小时内就出现攻击活动。