Falhas em bibliotecas de terceiros afetam Jira, Confluence e Bitbucket
O boletim de segurança divulgado pela Atlassian em 20 de outubro reúne 176 registros de vulnerabilidade relacionados a sete produtos: Jira, Confluence, Bamboo, Bitbucket, Crowd, Fisheye e Crucible. Do total, 162 foram classificados como de alta gravidade e 14 como críticos.
A quantidade de registros, porém, não equivale necessariamente a 176 falhas diferentes. Um mesmo identificador pode ser contabilizado em vários produtos quando eles dependem da mesma biblioteca de terceiros. Por isso, a análise dos riscos e das atualizações precisa considerar cada aplicação e sua versão instalada, em vez de interpretar o total como uma lista de vulnerabilidades independentes.
As falhas críticas apontadas estão em componentes externos incorporados aos produtos, e não em código desenvolvido pela Atlassian. Entre elas, a de maior gravidade é a CVE-2026-65637, encontrada no Coyote, componente do Apache Tomcat usado pelo Confluence. A vulnerabilidade pode permitir a interceptação de conexões entre o servidor e os usuários que acessam o serviço.
No Confluence Data Center, estão afetadas as versões de 10.2.0 a 10.2.18 e de 9.2.0 a 9.2.25, além de ramificações anteriores. As correções foram disponibilizadas nas versões 11.0.0, 10.2.19 LTS e 9.2.26 LTS. Para quem utiliza a linha 10.2, a Atlassian recomenda a atualização para a versão 10.2.19 LTS.
Os demais produtos também têm versões corrigidas específicas. No Bamboo, a recomendação é atualizar para 12.1.12 LTS ou 10.2.24 LTS. No Bitbucket Data Center, as opções corrigidas são 10.5.1, 10.2.8 LTS ou 9.4.26 LTS. Já para Jira Software e Jira Service Management, as versões indicadas são 11.3.12 LTS ou 10.3.26 LTS. As versões mencionadas para correção se aplicam às edições Data Center.
Antes de iniciar a atualização, as equipes de TI devem confirmar a versão completa – incluindo a build – de cada instalação e compará-la com a lista de versões corrigidas. Conferir apenas o número principal pode levar a uma conclusão equivocada: dois ambientes com a mesma versão-base podem estar em níveis diferentes de atualização e ter exposições distintas.
Também é importante verificar separadamente todos os produtos Atlassian em uso. Aplicações que compartilham uma biblioteca podem herdar uma vulnerabilidade mesmo quando não há, para cada uma delas, um aviso crítico próprio. Um inventário atualizado de produtos, versões e dependências ajuda a identificar instalações que precisam de correção e a evitar que algum sistema fique fora do processo.
A atualização deve ser planejada de acordo com o ambiente. Em sistemas de produção, uma prática prudente é testar a nova versão em uma instância de homologação, verificar integrações e extensões e, depois, programar a implantação. Antes de aplicar mudanças, convém manter cópias de segurança recentes e documentar o procedimento de retorno, caso apareça algum problema de compatibilidade.
Enquanto a correção não é concluída, controles de acesso e monitoramento podem ajudar a reduzir riscos. Restringir o acesso aos serviços aos usuários e redes necessários, acompanhar registros de atividade e revisar alertas de segurança são medidas úteis, mas não substituem a instalação da versão corrigida. Como a vulnerabilidade envolve comunicação entre servidor e usuários, proteger as conexões e limitar a exposição dos sistemas também faz parte da resposta.
Até 22 de outubro, não havia relatos de exploração das falhas incluídas no boletim. A Atlassian considera menor a exposição herdada pelos produtos a partir dessas bibliotecas e reserva a classificação crítica para situações que representem risco imediato. Essa avaliação ajuda a explicar por que os 14 registros críticos não vieram acompanhados de um alerta separado para cada produto.
Mesmo sem exploração conhecida naquele momento, a ausência de ataques reportados não elimina a necessidade de agir. Organizações que utilizam Jira, Confluence, Bamboo ou Bitbucket devem priorizar a conferência das versões, aplicar as atualizações recomendadas e manter um processo contínuo de gestão de dependências. Como bibliotecas comuns podem afetar vários serviços ao mesmo tempo, uma rotina de atualização coordenada reduz a chance de deixar sistemas vulneráveis para trás.