Atlassian vá 75 lỗ hổng trong các sản phẩm Data Center và Server

Atlassian vừa phát hành bản tin bảo mật tháng 10, ghi nhận tổng cộng 176 mục lỗ hổng, trong đó có 162 lỗi mức cao và 14 lỗi mức nghiêm trọng. Điểm đáng chú ý là toàn bộ các lỗ hổng này đều xuất phát từ các thành phần phụ thuộc bên thứ ba, chứ không phải từ mã nguồn do chính Atlassian phát triển.

Atlassian phát hành bản tin bảo mật tháng 10

Phạm vi ảnh hưởng và các lỗi nghiêm trọng

Theo cách thống kê của SecurityWeek, bản tin thực chất bao phủ 75 mã CVE riêng biệt, trong đó có 6 lỗi được xếp mức nghiêm trọng. Nhiều CVE xuất hiện lặp lại ở nhiều sản phẩm khác nhau, khiến tổng số mục trong bản tin cao hơn số lượng lỗ hổng thực tế.

Các sản phẩm bị ảnh hưởng gồm Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira Software và Jira Service Management. Đây đều là những công cụ phổ biến trong các doanh nghiệp, đặc biệt là nhóm đội ngũ phát triển phần mềm và vận hành hệ thống tại Việt Nam.

Danh sách các lỗ hổng mức nghiêm trọng:

• CVE-2026-65637, CVE-2026-65182, CVE-2026-68525 – các lỗi trong Apache Tomcat, ảnh hưởng tới Confluence và Crowd.
• CVE-2026-58062 – lỗi trong thư viện Bouncy Castle, ảnh hưởng tới Confluence, Crowd, Jira Software và Jira Service Management.
• CVE-2026-75595 – lỗi trong Netty, ảnh hưởng tới Confluence, Jira Software và Jira Service Management.
• CVE-2026-77185 – lỗi trong Apache SSHD, ảnh hưởng tới Fisheye/Crucible.

Với từng lỗ hổng trên, Atlassian khẳng định rằng cách thức sử dụng thành phần bị ảnh hưởng trong sản phẩm của họ "tạo ra rủi ro thấp hơn, không ở mức nghiêm trọng". Nói cách khác, dù bản thân thư viện có lỗi nghiêm trọng, mức độ phơi nhiễm thực tế với người dùng Atlassian được đánh giá là thấp hơn.

Hệ sinh thái thư viện mã nguồn mở gặp rắc rối

Ngoài 6 lỗi nghiêm trọng, phần còn lại là các lỗ hổng mức cao ảnh hưởng tới nhiều thư viện mã nguồn mở được dùng rộng rãi, bao gồm Apache Tomcat, Netty, Bouncy Castle, Jackson, Axios, Spring, Apache Struts và Apache ActiveMQ.

Phần lớn trong số này là các lỗi từ chối dịch vụ (DoS). Số khác được mô tả là điểm yếu mật mã, lỗi xác thực và phân quyền, lỗi giả mạo yêu cầu phía máy chủ (SSRF), rò rỉ thông tin và lỗi thực thi mã từ xa.

"Các CVE được báo cáo trong bản tin bảo mật hàng tháng đã được đánh giá là có rủi ro không nghiêm trọng đối với khách hàng Atlassian", công ty cho biết.

Đáng chú ý, cổng công bố lỗ hổng của Atlassian còn liệt kê CVE-2026-65905, một lỗi Apache Tomcat mức nghiêm trọng ảnh hưởng tới Data Center và Crowd, trong số các vấn đề được công bố ngày 20/10. Tuy nhiên, mã CVE này lại không xuất hiện trong bản tin chính thức, và cổng thông tin cũng liệt kê ít mã CVE riêng biệt hơn so với bản tin.

Chuyên gia bảo mật Eduard Kovacs

Vì sao doanh nghiệp Việt Nam cần quan tâm?

Atlassian không đề cập tới bất kỳ trường hợp nào trong số các lỗ hổng này bị khai thác trong thực tế. Công ty khuyến nghị người dùng cập nhật lên phiên bản mới nhất hoặc các bản vá đã được liệt kê trong bản tin.

Tuy vậy, việc chủ quan với các bản vá là điều không nên. Các tác nhân tấn công thường khai thác lỗ hổng rất nhanh sau khi thông tin được công bố. Một ví dụ điển hình là CVE-2026-21589, lỗi nghiêm trọng trong các sản phẩm Data Center tự vận hành của Atlassian, bị tấn công chỉ trong vài giờ sau khi mã khai thác PoC được công bố.

Với các tổ chức tại Việt Nam đang dùng Jira, Confluence hay Bitbucket dưới dạng triển khai nội bộ (self-hosted), việc kiểm tra phiên bản và lên lịch nâng cấp định kỳ nên được đưa vào quy trình vận hành bảo mật thường xuyên, thay vì chỉ xử lý khi có sự cố xảy ra.

SecurityWeek

Những điểm cần lưu ý

• Ưu tiên vá các lỗi nghiêm trọng trong Apache Tomcat, Bouncy Castle, Netty và Apache SSHD trước.
• Theo dõi cả cổng công bố lỗ hổng của Atlassian, vì có trường hợp CVE không nằm trong bản tin chính thức.
• Rà soát các thư viện bên thứ ba trong hệ thống của bạn, đặc biệt nếu tự build hoặc tùy biến các sản phẩm Atlassian.
• Không trì hoãn nâng cấp, bởi khoảng thời gian từ khi công bố đến khi bị khai thác có thể chỉ tính bằng giờ.

Việc phụ thuộc ngày càng nhiều vào thư viện mã nguồn mở giúp tăng tốc phát triển phần mềm, nhưng cũng kéo theo trách nhiệm theo dõi và vá lỗi liên tục. Bản tin tháng 10 của Atlassian là lời nhắc rằng chuỗi cung ứng phần mềm vẫn là một trong những điểm yếu khó kiểm soát nhất của doanh nghiệp hiện đại.