Atlassian'ın ekim bülteninde 75 açık var, hepsi üçüncü taraf bileşenlerde

Atlassian, müşterilerin kendi sunucularında çalıştırdığı Data Center ve Server ürünleri için ekim ayı güvenlik bültenini 20 Ekim’de yayımladı. SecurityWeek’in aktardığına göre bültende 162 yüksek ve 14 kritik önem dereceli kayıt var. Bütün kayıtlar, Atlassian’ın ürünlerinde kullandığı üçüncü taraf bileşenlerle ilgili. Aynı CVE’lerin birçoğu birden fazla üründe listelendiği için, SecurityWeek’in sayımına göre bülten 75 farklı CVE içeriyor ve bunların altısı kritik.

Etkilenen ürünler Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira Software ve Jira Service Management.

Kritik açıklar

• CVE-2026-65637, CVE-2026-65182 ve CVE-2026-68525: Confluence ve Crowd için listelenen Apache Tomcat açıkları
• CVE-2026-58062: Confluence, Crowd, Jira Software ve Jira Service Management için listelenen Bouncy Castle açığı
• CVE-2026-75595: Confluence, Jira Software ve Jira Service Management için listelenen Netty açığı
• CVE-2026-77185: Fisheye/Crucible için listelenen Apache SSHD açığı

Atlassian bu açıkların her biri için, ilgili bileşeni kullanma biçiminin “daha düşük, kritik olmayan bir risk” taşıdığını belirtiyor. SecurityWeek’e göre Atlassian’ın açık bildirim portalında, 20 Ekim’de duyurulan açıklar arasında Data Center ve Crowd’u etkileyen kritik bir Apache Tomcat açığı (CVE-2026-65905) da yer alıyor, ancak bu açık bültende geçmiyor.

Yüksek önem dereceli diğer açıklar Apache Tomcat, Netty, Bouncy Castle, Jackson, Axios, Spring, Apache Struts ve Apache ActiveMQ gibi yaygın açık kaynak kütüphanelerde.

Önerilen önlemler

Atlassian, bültendeki bütün açıkları kapatmak için ürünlerin en son sürüme ya da aşağıdaki düzeltilmiş sürümlerden birine güncellenmesini öneriyor. Bültene göre 20 Ekim itibarıyla düzeltilmiş sürümler şunlar:

• Bamboo: 12.1.12 (LTS, önerilen) ve 10.2.24 (LTS)
• Bitbucket: 10.5.1, 10.2.8 (LTS, önerilen) ve 9.4.26 (LTS)
• Confluence: 11.0.0, 10.2.19 (LTS, önerilen) ve 9.2.26 (LTS)
• Crowd: 7.2.4
• Fisheye/Crucible: 4.9.15
• Jira Software ve Jira Service Management: 11.3.12 (LTS, önerilen) ve 10.3.26 (LTS)

Bamboo, Bitbucket, Confluence, Crowd ve Jira ürünlerinde düzeltilmiş sürümler yalnızca Data Center için yayımlandı. Bültende her ürünün etkilenen sürümleri ayrıca listeleniyor. Atlassian, en güncel sürümler için ürünlerin sürüm notlarına bakılmasını öneriyor. Atlassian kritik açıkların kendi ürünlerinde daha düşük risk taşıdığını söylese de, bu ürünler bu ay başında da saldırılarda kullanılan bir açıkla gündeme gelmişti: Atlassian’ın sekiz Data Center ürünündeki dosya okuma açığı saldırılarda kullanılıyor