北京
Atlassian 发布了 2026 年 10 月安全公告，覆盖 Jira、Confluence、Bamboo、Bitbucket 和 Crowd 等产品，共列出 176 条漏洞记录。公告发布于 10 月 20 日，其中包含 162 条高危条目和 14 条严重级别的第三方条目。Atlassian 表示，修复已包含在上个月发布的产品版本中，并敦促客户安装合适的修复版本。
这里有个容易被误读的地方：176 这个总数，不能被理解成 176 个只影响 Jira 和 Confluence 的唯一 CVE。官方安全公告按产品罗列发现项，部分 CVE 标识会出现在多个使用相同软件库的应用中。对管理员来说，这意味着要逐个核对已安装的产品，而不是把这份公告当成一个统一补丁来处理。
Confluence 方面的一个关键发现是 CVE-2026-65637，这是 Apache Tomcat Coyote 依赖中的中间人问题，CVSS 评分为 9.8。其他严重条目包括 Bouncy Castle 中的加密失败问题 CVE-2026-58062，评分 9.3；以及 Netty 中的身份认证与会话管理弱点 CVE-2026-75595，评分 9.1。
Confluence 还涉及两个不当授权条目，CVE-2026-65182 和 CVE-2026-68525，影响 Tomcat Catalina 依赖。这些发现之外，还有涉及拒绝服务、不安全数据处理、文件包含、路径遍历以及第三方组件远程代码执行的高危问题。
不过，严重性评级需要仔细读。Atlassian 表示，这些严重评级描述的是外部库中的缺陷；相比之下，其对这些库的使用所评估出的风险较低，并非严重级别。公司会为在其产品中构成直接严重风险的问题单独保留严重安全公告。因此，库的评分并不意味着每一个受影响的 Atlassian 安装都面临同等程度的暴露。
修复版本方面，Confluence 的 Data Center 修复版本包括 11.0.0、10.2.19 LTS 和 9.2.26 LTS，其中推荐 10.2.19 LTS。受影响分支包括 10.2.0 至 10.2.18、9.2.0 至 9.2.25，以及若干更早版本。管理员应拿自己的确切构建版本对照完整表格，而不是只看主版本号。
Bamboo 客户被指向 12.1.12 LTS 或 10.2.24 LTS。Bitbucket 的修复版本包括 10.5.1、10.2.8 LTS 和 9.4.26 LTS。公告将这些修复版本标注为仅限 Data Center，而产品标题中也提到了 Server，因此客户在规划升级时需要仔细阅读版本标签。
Jira 管理员还应查看近期的 Atlassian 任意文件访问安全更新。那份单独公告覆盖 CVE-2026-21589，并列出 Jira Software 和 Jira Service Management 的修复版本，包括 10.3.26 和 11.3.12。它不应与本次月度公告中的第三方依赖发现混为一谈。
过往攻击说明了为什么延迟更新 Confluence 值得警惕。有安全媒体记录过攻击者利用另一个更早的漏洞 CVE-2023-22527 部署 Godzilla 无文件后门。这一案例提供的是历史背景，并不构成攻击者正在利用 2026 年 10 月这些发现项的证据。
Atlassian 建议升级到最新版本，或每个受影响产品所列出的修复版本。由于修复版本表反映的是截至 10 月 20 日可获得的信息，客户在安排部署前还应查看链接的发行说明。实际操作中的优先事项，是让每一个已安装应用都对应到自己的补丁路径，包括那些共用存在漏洞的库的产品。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
