Atlassian Releases Massive Security Update Addressing 176 Flaw Entries in Jira and Confluence
2026/10/22 CyberSecurityNews — Atlassian が公開したのは、Jira／Confluence／Bamboo／Bitbucket／Crowd などの製品に存在する、176 件の脆弱性に対応する 2026年10月のセキュリティ情報である。このアドバイザリは 10月20日に公開され、深刻度 High の脆弱性 162 件と、サードパーティ製コンポーネントに存在する深刻度 Critical の脆弱性 14 件が記載されている。
2026年9月に公開された製品バージョンに一連の修正は含まれており、顧客に対して適切な修正済みリリースを適用するよう、Atlassian は呼びかけている。ただし、計 176 件という数字は、Jira と Confluence だけに影響する固有の CVE が 176 件あることを意味するわけではない。公式セキュリティ情報では、脆弱性が製品ごとに記載され、同じソフトウェア・ライブラリを使用する複数の製品に、同一の CVE 識別子が掲載される場合があるため、管理者は導入している製品ごとに影響を確認する必要がある。
Confluence に関連する重要な脆弱性の一つが、Apache Tomcat Coyote の依存コンポーネントに存在する中間者攻撃 (MITM) の脆弱性 CVE-2026-65637 であり、CVSS スコアは 9.8 と評価されている。その他の Critical 脆弱性には、Bouncy Castle の暗号処理に関する不備である CVE-2026-58062 (CVSS 9.3) や、Netty の認証とセッションの管理に関する CVE-2026-75595 (CVSS 9.1) が含まれる。
製品別の修正済みバージョンと対応上の注意点
Confluence では、Tomcat Catalina の依存コンポーネントに影響する、認可処理の不備に関する 2 件の脆弱性 CVE-2026-65182／CVE-2026-68525 が報告されている。その他にも、サードパーティ製コンポーネントにおける、サービス拒否 (DoS)／安全でないデータ処理／ファイルインクルージョン／パストラバーサル／リモートコード実行 (RCE) などにつながる、深刻度 High の脆弱性が含まれている。
ただし、一連の脆弱性の深刻度は慎重に解釈する必要がある。Atlassian によると、Critical 評価は外部ライブラリ自体の脆弱性に対するものであり、Atlassian 製品での使用に伴うリスクは相対的に低く、製品への影響は Critical に該当しないと評価されている。自社製品に重大なリスクをもたらす緊急性の高い問題について、同社は別のセキュリティ・アドバイザリを公開する方針であり、ライブラリ自体の CVSS スコアが高くても、それを使用する Atlassian 製品で同程度のリスクが生じるとは限らないとしている。
製品別の修正済みバージョンについては、Confluence の公式セキュリティ情報において、Data Center 向けの 11.0.0／10.2.19 LTS／9.2.26 LTS が挙げられているが、推奨されるのは 10.2.19 LTS である。影響を受けるバージョンには、10.2.0～10.2.18／9.2.0～9.2.25 などが含まれるため、管理者は実際に使用している製品バージョンを公式の一覧表と照合する必要がある。Bamboo では、12.1.12 LTS／10.2.24 LTS へのアップグレードが案内され、Bitbucket の修正済みバージョンには、10.5.1／10.2.8 LTS／9.4.26 LTS が含まれる。
これらの修正済みリリースは、Data Center 専用と明記されている。一方、セキュリティ情報の製品見出しには Server も記載されているため、顧客はアップグレード計画を立てる際に、各バージョンの対象製品を確認する必要がある。
Jira の管理者は、先日に Atlassian が公開した、任意のファイル／アクセスに関するセキュリティ・アドバイザリも確認すべきである。このアドバイザリでは CVE-2026-21589 が取り上げられ、Jira Software および Jira Service Management の修正済みバージョンとして 10.3.26 や 11.3.12 などが示されている。ただし、これらの問題は、今回の月例セキュリティ情報に記載された、サードパーティ製コンポーネントの脆弱性と区別する必要がある。
過去の攻撃事例として Cybersecurity News は、古い脆弱性 CVE-2023-22527 を悪用する攻撃者が、Godzilla のファイルレス型バックドアを展開した事例を報じている。ただし、これは過去の攻撃に関する参考情報であり、2026年10月のセキュリティ情報に記載された脆弱性が実際に悪用されていることを示す証拠ではない。
Atlassian は、影響を受ける各製品について、最新リリースまたは一覧に記載された修正済みバージョンへのアップグレードを推奨している。修正済みバージョンの一覧は、10月20日時点の情報に基づいているため、顧客はアップグレード前にリンク先のリリースノートを確認する必要がある。同じ脆弱なライブラリを共有する製品も含めて、導入済みの各製品に適した、修正済みバージョンへのアップグレードを計画する必要がある。
この記事は、Atlassian 製品群における多数の脆弱性について解説するものです。Jira や Confluence などの主要プラットフォームや、依存するサードパーティ製コンポーネントにおけるアクセス制御や暗号処理の不備が背景に存在します。影響として、中間者攻撃 (MITM) ／認証およびセッション管理の不備／リモートコード実行 (RCE) などが生じる恐れがあります。対応策として、影響を受ける製品バージョンの確認／製品ごとの修正済みリリースへのバージョンアップ／公式セキュリティ情報とリリースノートの照合が求められます。
You must be logged in to post a comment.