شرکت Atlassian بولتن امنیتی ماه اکتبر ۲۰۲۶ خود را منتشر کرد که شامل رفع ۱۷۶ مورد آسیب‌پذیری در محصولات مختلف از جمله Jira، Confluence، Bamboo، Bitbucket و Crowd است.
در این به‌روزرسانی، ۱۶۲ مورد با شدت بالا (High-severity) و ۱۴ مورد با شدت بحرانی (Critical-severity) مربوط به کتابخانه‌های شخص ثالث (Third-party) شناسایی شده‌اند. Atlassian تأکید کرده است که اصلاحات در نسخه‌های منتشر شده ماه گذشته گنجانده شده و از مشتریان می‌خواهد سریعاً نسخه‌های اصلاح‌شده مناسب را نصب کنند.
جزئیات آسیب‌پذیری‌های کلیدی
باید توجه داشت که این عدد (۱۷۶) به معنای ۱۷۶ شناسه CVE مجزا برای Jira و Confluence نیست؛ بلکه برخی شناسه‌ها در چندین اپلیکیشن که از کتابخانه‌های مشترک استفاده می‌کنند، تکرار شده‌اند. بنابراین، مدیران سیستم باید هر محصول را به‌صورت مجزا بررسی کنند.
- CVE-2026-65637: یک آسیب‌پذیری Man-in-the-middle در وابستگی Apache Tomcat Coyote با امتیاز CVSS معادل ۹.۸ در Confluence.
- CVE-2026-58062: نقص رمزنگاری (Cryptographic failure) در کتابخانه Bouncy Castle با امتیاز ۹.۳.
- CVE-2026-75595: ضعف در مدیریت نشست و احراز هویت (Authentication and session management) در Netty با امتیاز ۹.۱.
- CVE-2026-65182 و CVE-2026-68525: موارد مربوط به عدم مجوزدهی صحیح (Improper authorization) در وابستگی Tomcat Catalina.
علاوه بر این، موارد دیگری شامل عدم امکان انجام سرویس‌دهی (Denial of Service)، مدیریت ناامن داده‌ها، گنجاندن فایل (File inclusion)، پیمایش مسیر (Path traversal) و اجرای کد از راه دور (RCE) در اجزای شخص ثالث گزارش شده است.
نکات مهم برای مدیران سیستم و CISOها
Atlassian خاطرنشان کرده است که رتبه‌بندی “بحرانی” (Critical) بیشتر مربوط به نقص در کتابخانه‌های خارجی است و ریسک واقعی استفاده از آن‌ها در محصولات Atlassian ممکن است کمتر باشد. با این حال، برای جلوگیری از حملاتی مشابه استفاده از باگ‌های قدیمی برای استقرار بدافزارهایی مانند Godzilla، به‌روزرسانی سریع ضروری است.
نسخه‌های پیشنهادی برای Confluence: نسخه‌های 11.0.0، 10.2.19 LTS و 9.2.26 LTS (نسخه 10.2.19 LTS توصیه می‌شود).
نسخه‌های پیشنهادی برای Bamboo: نسخه‌های 12.1.12 LTS یا 10.2.24 LTS.
نسخه‌های پیشنهادی برای Bitbucket: نسخه‌های 10.5.1، 10.2.8 LTS و 9.4.26 LTS.
توصیه می‌شود مدیران قبل از برنامه‌ریزی برای ارتقا، حتماً یادداشت‌های انتشار (Release notes) مربوط به نسخه دقیق خود را بررسی کنند تا از تطابق کامل نسخه نصب شده با مسیر اصلاحیه (Patch path) اطمینان حاصل نمایند.
