Atlassian ha publicado su boletín de seguridad de octubre de 2026, el cual aborda 176 vulnerabilidades en diversos productos como Jira, Confluence, Bamboo, Bitbucket y Crowd. De estas, 162 son de severidad alta y 14 son críticas (provenientes de terceros). La empresa ya ha incluido las correcciones en las versiones lanzadas el mes pasado e insta a sus clientes a instalar las actualizaciones correspondientes.

Atlassian ha publicado su boletín de seguridad de octubre de 2026, cubriendo 176 entradas de fallos en diversos productos, incluidos Jira, Confluence, Bamboo, Bitbucket y Crowd.

Publicada el 20 de octubre, la actualización enumera 162 entradas de severidad alta y 14 entradas de terceros de severidad crítica. Atlassian afirma que incluyó correcciones en las versiones de productos lanzadas el mes pasado y te insta a instalar una versión corregida adecuada.

El total no debe leerse como 176 CVE únicos que afecten solo a Jira y Confluence. El boletín de seguridad oficial enumera los hallazgos por producto, y algunos identificadores CVE aparecen en varias aplicaciones que utilizan las mismas librerías de software.

Esto significa que tú, como administrador, debes revisar cada producto instalado en lugar de tratar el anuncio como un único parche. Un hallazgo clave en Confluence es el CVE-2026-65637, un problema de "man-in-the-middle" en la dependencia Apache Tomcat Coyote con una puntuación CVSS de 9.8.

Otras entradas críticas incluyen el CVE-2026-58062, un fallo criptográfico en Bouncy Castle calificado con 9.3, y el CVE-2026-75595, una debilidad de autenticación y gestión de sesiones en Netty calificada con 9.1.

Atlassian lanza actualización de seguridad

Confluence también tiene dos entradas de autorización inadecuada, CVE-2026-65182 y CVE-2026-68525, que afectan a la dependencia Tomcat Catalina.

Estos hallazgos se suman a problemas de severidad alta que involucran denegación de servicio, manejo de datos inseguro, inclusión de archivos, salto de directorio (path traversal) y ejecución remota de código en componentes de terceros.

Sin embargo, la severidad requiere una lectura cuidadosa. Atlassian indica que las calificaciones críticas describen fallos en librerías externas. En contraste, el uso de esas librerías en sus productos presenta un riesgo evaluado menor y no crítico.

La empresa reserva los avisos de seguridad críticos independientes para problemas que representen un riesgo crítico inmediato en sus productos. Por lo tanto, las puntuaciones de las librerías no significan que cada instalación de Atlassian afectada enfrente el mismo nivel de exposición.

Para Confluence, el boletín de seguridad enumera las versiones 11.0.0, 10.2.19 LTS y 9.2.26 LTS como versiones de Data Center corregidas, siendo la 10.2.19 LTS la recomendada.

Las ramas afectadas incluyen desde la 10.2.0 hasta la 10.2.18 y desde la 9.2.0 hasta la 9.2.25, junto con varias versiones más antiguas. Deberías comparar tu compilación exacta con la tabla completa en lugar de confiar solo en el número de la versión principal.

Los clientes de Bamboo deben dirigirse a la 12.1.12 LTS o 10.2.24 LTS. Las correcciones de Bitbucket incluyen la 10.5.1, 10.2.8 LTS y 9.4.26 LTS. El boletín marca estas versiones corregidas solo para Data Center. Sus encabezados de producto también mencionan "Server", por lo que debes leer atentamente las etiquetas de versión al planificar tus actualizaciones.

Si administras Jira, también deberías revisar la reciente actualización de seguridad de Atlassian sobre el acceso arbitrario a archivos. Ese aviso independiente cubrió el CVE-2026-21589 e identificó correcciones para Jira Software y Jira Service Management, incluidas la 10.3.26 y 11.3.12. No debes confundirlo con los hallazgos de dependencias de terceros de este boletín mensual.

Ataques anteriores muestran por qué las actualizaciones retrasadas de Confluence merecen tu atención. Cybersecurity News documentó atacantes utilizando un fallo antiguo y separado, CVE-2023-22527, para desplegar el backdoor sin archivos Godzilla. Ese caso proporciona contexto histórico, no evidencia de que los atacantes estén explotando los hallazgos de octubre de 2026.

Atlassian recomienda que actualices a la última versión o a una versión corregida listada para cada producto afectado. Debido a que la tabla de versiones corregidas refleja la información disponible al 20 de octubre, también deberías revisar las notas de lanzamiento vinculadas antes de programar el despliegue. Tu prioridad práctica es hacer coincidir cada aplicación instalada con su ruta de parche, incluidos los productos que comparten librerías vulnerables.

Fuentes:
https://cybersecuritynews.com/atlassian-security-update/