A Atlassian publicou em 20 de outubro o boletim de segurança de outubro, com 176 registros de vulnerabilidade distribuídos entre sete produtos, incluindo Jira, Confluence, Bamboo, Bitbucket, Crowd e a dupla Fisheye e Crucible. São 162 entradas de alta gravidade e 14 críticas.
Os 176 registros não correspondem a 176 falhas distintas. O mesmo identificador aparece em mais de um produto quando os dois usam a mesma biblioteca, e é assim que a contagem cresce.
As entradas críticas estão em componentes de terceiros, não em código escrito pela Atlassian. A mais grave é a CVE-2026-65637, no componente Coyote do Apache Tomcat usado pelo Confluence, que permite interceptar conexões entre o servidor e quem o acessa.
No Confluence Data Center, as versões afetadas vão de 10.2.0 a 10.2.18 e de 9.2.0 a 9.2.25, além de ramos mais antigos. As correções estão em 11.0.0, 10.2.19 LTS, que a empresa recomenda, e 9.2.26 LTS.
Para o Bamboo, a correção está em 12.1.12 LTS ou 10.2.24 LTS. No Bitbucket Data Center, em 10.5.1, 10.2.8 LTS ou 9.4.26 LTS. No Jira Software e no Jira Service Management, em 11.3.12 LTS ou 10.3.26 LTS. Todas as versões corrigidas valem para Data Center.
A orientação é comparar a build instalada com a tabela completa de versões corrigidas, e não apenas o número principal da versão. Produtos que compartilham a mesma biblioteca podem precisar de atualização mesmo sem aviso crítico próprio, o que torna a conferência produto por produto parte do trabalho.
Até 22 de outubro não havia relato de exploração das falhas deste boletim. A Atlassian classifica como menor a exposição que os próprios produtos herdam dessas bibliotecas e reserva o aviso crítico para o que representa risco imediato, critério que explica por que 14 entradas críticas não vieram acompanhadas de alerta separado.
