Atlassian 十月公告 75 个第三方洞 六个上游严重 修复版本对照

Atlassian 的月度安全公告我平时不太当回事，多数是第三方组件的例行跟进。但十月这期（10 月 20 日发布）有两个点让我专门停下来写了这篇：一是量大，176 条产品条目对应 75 个唯一 CVE；二是这里面藏着一个容易踩的坑——同一个 CVE 在公告里会出现在四五个产品下面，按公告逐行打钩的话，很容易打了一个产品就以为修完了。



先把盘子说清。官方公告正文写的是 162 条高严重性和 14 条严重性，注意这是按"产品条目"计的——同一条 CVE 出现在几个产品下面就计几条。SecurityWeek 去重后数出 75 个唯一 CVE，其中 6 个是上游评级严重的：Apache Tomcat 的 CVE-2026-65637（9.8，连接器中间人）、CVE-2026-65182 和 CVE-2026-68525（各 9.1，授权不当，列在 Confluence 和 Crowd 下）；Bouncy Castle 的 CVE-2026-58062（9.3，加密缺陷，Confluence、Crowd、Jira Software、Jira Service Management 都在列）；Netty 的 CVE-2026-75595（9.1，涉及 RCE 与认证，Confluence、Jira 两条产品线）；Apache SSHD 的 CVE-2026-77185（9.1，认证缺陷，Fisheye/Crucible）。Atlassian 对每一条都强调：按它产品里的实际用法，风险评估降到 non-critical。这个说法有道理，Tomcat 漏洞不见得在你用的配置路径上，但我的看法是它影响的是排期，不是打不打。

修复版本我整理在图里：Confluence Data Center 升 11.0.0、10.2.19 或 9.2.26；Jira Software 和 Jira Service Management 升 11.3.12 或 10.3.26；Bamboo 升 12.1.12 或 10.2.24；Bitbucket 升 10.5.1、10.2.8 或 9.4.26；Fisheye/Crucible 升 4.9.15。这些都是公告里列的固定版本（截至 10 月 20 日），发新版可能更多，以产品 Release Notes 为准。特别提醒一句 CyberSixt 那篇分析里的观察：光升级系统 Tomcat 没用，Atlassian 产品捆绑的是自己的 Tomcat 构建，必须升产品本身。

一个需要如实写明的口径分歧：SecurityWeek 发现 Atlassian 的漏洞披露门户在 10 月 20 日这批披露里还列了一条严重的 Tomcat 漏洞 CVE-2026-65905（影响 Data Center 和 Crowd），但它没有出现在月度公告里，门户的唯一 CVE 数也和公告对不上。我没有能力替 Atlassian 解释这个出入，建议建工单时把门户和公告两边都查一遍，别只看公告。

利用状态方面，Atlassian 未报告本公告内任何漏洞被利用，CISA KEV 里也没看到相关条目。但别把"没报告"当"没发生"——就在 10 月初，同一批 Data Center 产品里那条独立的严重漏洞 CVE-2026-21589，公开 PoC 出现后数小时内就有人打了。外部可达的 Confluence、Jira、Crowd 实例这周内安排升级，内网的按常规窗口走。

另一个实操建议：这条公告适合直接转成工单时做去重——CVE 层面按 75 个唯一编号汇报，但每个受影响的产品实例单独一行，别让"Confluence 修完了"把 Jira 那三行也标记成完成。这是我见过这类公告最容易出的执行事故。

第二来源方面，加拿大网络中心（Canadian Centre for Cyber Security）单独发了通告，确认涉及产品族与官方公告一致。本次核对过的来源如下：

1. Atlassian Security Bulletin - October 20 2026（官方公告）
   https://confluence.atlassian.com/security/security-bulletin-october-20-2026-1874690162.html
2. NCIJ Network（SecurityWeek）：Atlassian Patches 75 Flaws（含 CVE-2026-65905 出入与 75 unique CVE 统计）
   https://ncijnetwork.com/atlassian-patches-75-flaws-in-data-center-and-server-products
3. CyberSixt：Atlassian patches 176 flaws across Jira and Confluence products（上游评分与捆绑 Tomcat 提醒）
   https://cybersixt.com/a/0RGG9lGZsWhFpV6--WuN8J
4. Hunter Strategy：One Layer Down（严重性口径与排期建议）
   https://blog.hunterstrategy.net/one-layer-down-why-the-real-fix-sits-below-where-youre-patching
5. TechWorld：Atlassian Updates Data Center and Server Products Against 75 Third-Party CVEs（加拿大网络中心佐证）
   https://techworld.news/2026/10/23/atlassian-updates-data-center-and-server-products-against-75-third-party-cves

**HKTULU**
2026-10-26