Atlassianは、Jira、Confluenceなどのエンタープライズ製品向けにセキュリティ修正をリリースし、同社のソフトウェア全体で176件の脆弱性項目に対応した。
10月20日に公開されたこの速報は、複数の自社管理型製品向けに前月リリースされた修正をまとめたものだ。影響を受ける一部のサードパーティー製コンポーネントには「重大」の深刻度評価が付けられているが、Atlassianは自社アプリケーション内でのリスクを重大ではないと評価している。影響を受けるバージョンを運用している組織は、どのインストール環境でなおアップデートが必要か確認すべきだ。
最も深刻な問題のいくつかは、エンタープライズシステムへの不正な接続を防ぐソフトウェアコンポーネントに影響する。
セキュリティ上の欠陥、サーバーアクセスと証明書チェックに影響
深刻度が最も高い問題のいくつかは、安全な接続の管理に使われるサードパーティー製ソフトウェアライブラリーに関係しており、Atlassianのセキュリティ情報公開では、次のスコアが速報に記載された注目すべき3件の脆弱性を特定している。
- Apache TomcatのCVE-2026-65637（9.8）はConfluenceとCrowdに影響し、特定のHTTP/2リクエストで厳格なServer Name Indication（SNI）検証を回避できる。
- Bouncy CastleのCVE-2026-58062（9.3）不備のある証明書検証によって、コンポーネントが不一致の証明書ステータス応答を受け取った際に、失効した証明書が有効なものとして受け入れられる可能性がある。Atlassianは、影響を受ける製品としてJira Software、Jira Service Management、Confluence、Crowdを挙げている。
- NettyのCVE-2026-75595（9.1）では、ネットワークコンポーネントが 攻撃者によるクライアント証明書認証の回避を可能にする。認証がSNIベースの設定に完全に依存し、フォールバック設定で証明書なしの接続が許可され、アプリケーションが追加の証明書検証を実行しない場合が該当する。
その他の項目には、リモートコード実行やサービス拒否の脆弱性も含まれる。合計のうち162件は高い深刻度と評価され、14件は重大と評価されたサードパーティー製コンポーネントに関係している。また、一部のCVEは複数の製品にわたって記載されている。
コンポーネント自体の深刻度スコアがより高いにもかかわらず、Atlassianは自社アプリケーション内での影響を重大ではないと見なしている。
サポート対象のData Center製品向けに修正済みリリースを提供
推奨アップデートは製品とリリースブランチによって異なる。10月20日の速報では、次のバージョンが推奨されている。管理者は、導入前に現在のリリースノートとアップグレード要件を確認すべきだ。
製品 | 推奨される修正版 |
| Jira Software Data Center | 11.3.12 LTS |
| Jira Service Management Data Center | 11.3.12 LTS |
| Confluence Data Center | 10.2.19 LTS |
| Bitbucket Data Center | 10.2.8 LTS |
| Bamboo Data Center | 12.1.12 LTS |
| Crowd Data Center | 7.2.4 |
| Fisheye and Crucible | 4.9.15 |
その他のリリースブランチでは、Atlassianの 脆弱性情報公開ポータルに影響を受けるバージョンと利用可能な修正が掲載されている。
旧バージョンのServerエディションは別の問題を抱えている。Jira、Confluence、その他の大半のServer製品は2024年2月にセキュリティ修正の提供を終了しており、これらのインストール環境にはサポート対象のパッチがない。Fisheye and Crucibleは2028年5月までサポート対象となる。
1つでもアップデートを逃したインストール環境があれば、セキュリティ上の欠陥が未解決のまま残る可能性がある
Jiraには、セキュリティ作業の割り当てや完了に使われるチケットが保存されることが多い。一方、Jira Service ManagementはITインシデント対応を支援し、Confluenceには社内の対応手順が保存される。
同じ脆弱なソフトウェアコンポーネントが含まれていても、これらのアプリケーションを別々のチームが管理している可能性がある。そのため、影響を受けるConfluenceまたはCrowdのインストール環境が古いバージョンのまま稼働している場合、Jiraのセキュリティチケットが完了していても、管理者が把握できる状況は不完全になり得る。
セキュリティ責任者は、影響を受ける各インストール環境を 脆弱性管理記録で個別に追跡すべきだ。共有されたCVEは、脆弱なバージョンを実行している実際のサーバーと照合し、担当する製品所有者が各アップデートを確認する必要がある。適切な パッチ検証とは、問題を解決済みと見なす前に、導入後に稼働しているソフトウェアのバージョンを確認することを意味する。クラスター構成で導入している場合は、すべてのノードを検証し、影響を受けるインストール環境に対する結果を記録する。
サポート対象外のServerインストール環境については、サポート対象のプラットフォームへの移行担当者と期限を割り当てる。移行が完了するまでアクセスを制限し、こうした対策は完了した修正ではなく、一時的なリスク低減策として記録する。
重要なIT業務に使われている古いインストール環境が脆弱なままで、通常のセキュリティサポートの対象外となっている場合、パッチ完了報告書だけでは得られる保証は限られる。
サイバーセキュリティー関連のニュース：GitLabの管理者は別の緊急セキュリティーアップデートを受けた。同社は今月、深刻度10.0のリモートコード実行の脆弱性を2件目として公表した。