สรุปสั้น

บริษัท Atlassian เผยแพร่ Security Bulletin ประจำเดือนตุลาคม 2569 เมื่อวันอังคารที่ 20 ตุลาคม ระบุช่องโหว่ระดับสูง 162 รายการและระดับวิกฤต 14 รายการ ทุกรายการมาจากไลบรารีภายนอก (third-party dependency) และหลาย CVE ถูกนับซ้ำในหลายผลิตภัณฑ์ เมื่อนับเฉพาะ CVE ที่ไม่ซ้ำกัน SecurityWeek ได้ 75 รายการ ในจำนวนนี้ระดับวิกฤต 6 รายการ ผลิตภัณฑ์ที่ได้รับผลกระทบคือ Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira Software และ Jira Service Management รุ่น Data Center และ Server

ช่องโหว่วิกฤตกระจายอยู่ใน Apache Tomcat, Bouncy Castle, Netty และ Apache SSHD แต่ Atlassian ระบุสำหรับทุกตัวว่าวิธีที่ตนใช้คอมโพเนนต์นั้น “มีความเสี่ยงที่ประเมินแล้วต่ำกว่าและไม่ถึงระดับวิกฤต” บริษัทไม่ได้กล่าวถึงการโจมตีจริงและแนะนำให้อัปเดตเป็นเวอร์ชันล่าสุดหรือเวอร์ชันที่แก้ไขตาม bulletin มีข้อสังเกตว่าพอร์ทัลเปิดเผยช่องโหว่ของ Atlassian ระบุ CVE-2026-65905 ของ Tomcat ไว้ด้วย แต่กลับไม่ปรากฏใน bulletin ข้อมูลสองแหล่งจึงไม่ตรงกัน

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 23 ตุลาคม 2569 ว่า Atlassian เผยแพร่ Security Bulletin ประจำเดือนตุลาคม ที่ระบุช่องโหว่ระดับสูง 162 รายการและระดับวิกฤต 14 รายการ ทุกรายการเชื่อมกับไลบรารีภายนอก และหลาย CVE อยู่ในหลายผลิตภัณฑ์ ช่องโหว่วิกฤต 6 รายการที่ไม่ซ้ำกันประกอบด้วย CVE-2026-65637, CVE-2026-65182 และ CVE-2026-68525 ใน Apache Tomcat ที่ระบุไว้สำหรับ Confluence และ Crowd ส่วน CVE-2026-58062 ใน Bouncy Castle ระบุสำหรับ Confluence, Crowd, Jira Software และ Jira Service Management

ส่วนที่เหลือคือ CVE-2026-75595 ใน Netty ซึ่งระบุสำหรับ Confluence, Jira Software และ Jira Service Management และ CVE-2026-77185 ใน Apache SSHD ซึ่งระบุสำหรับ Fisheye/Crucible สำหรับช่องโหว่วิกฤตทุกตัว Atlassian ให้หมายเหตุว่าการใช้คอมโพเนนต์นั้นในผลิตภัณฑ์ของตนมีความเสี่ยงต่ำกว่าระดับวิกฤต และบริษัทระบุในภาพรวมว่า “CVE ที่รายงานใน Security Bulletin รายเดือนได้รับการประเมินแล้วว่ามีความเสี่ยงไม่ถึงระดับวิกฤตต่อลูกค้า Atlassian”

พอร์ทัลเปิดเผยช่องโหว่ของ Atlassian ยังระบุ CVE-2026-65905 ช่องโหว่วิกฤตของ Apache Tomcat ที่กระทบ Data Center และ Crowd ไว้ในรายการที่เปิดเผยวันที่ 20 ตุลาคม แต่ CVE นี้ไม่ปรากฏใน bulletin และพอร์ทัลยังมีจำนวน CVE ไม่ซ้ำน้อยกว่าใน bulletin ผู้ดูแลระบบจึงควรตรวจทั้งสองแหล่งประกอบกัน

รายละเอียดช่องโหว่

ช่องโหว่ระดับสูงที่เหลือกระจายอยู่ในไลบรารีโอเพนซอร์สที่ใช้แพร่หลาย ได้แก่ Apache Tomcat, Netty, Bouncy Castle, Jackson, Axios, Spring, Apache Struts และ Apache ActiveMQ จำนวนมากเป็นช่องโหว่ทำให้ระบบหยุดให้บริการ (DoS) ส่วนที่เหลือเป็นจุดอ่อนด้านการเข้ารหัส ปัญหาการยืนยันตัวตนและการกำหนดสิทธิ์ การปลอมคำขอฝั่งเซิร์ฟเวอร์ (SSRF) การเปิดเผยข้อมูล และบั๊กที่รันโค้ดได้

ลักษณะสำคัญของ bulletin นี้คือคะแนนที่ประกาศเป็นคะแนนของไลบรารีต้นทาง ไม่ใช่คะแนนความเสี่ยงที่เกิดขึ้นจริงในผลิตภัณฑ์ Atlassian ซึ่งบริษัทประเมินว่าต่ำกว่า เพราะเส้นทางที่จะเรียกใช้โค้ดที่มีช่องโหว่ในผลิตภัณฑ์อาจไม่มีหรือจำกัด อย่างไรก็ตาม การประเมินนี้มาจากผู้จำหน่ายฝ่ายเดียว และไม่ได้รับประกันว่าจะไม่มีเส้นทางโจมตีในการติดตั้งที่ปรับแต่งหรือมีปลั๊กอินเพิ่ม

ผลกระทบ

Jira, Confluence และ Bitbucket รุ่น Data Center เก็บข้อมูลโปรเจกต์ เอกสารภายใน และซอร์สโค้ดขององค์กร จึงเป็นเป้าที่ผู้โจมตีให้ความสนใจสูง SecurityWeek ยกตัวอย่าง CVE-2026-21589 ช่องโหว่วิกฤตในผลิตภัณฑ์ Data Center ที่ถูกโจมตีภายในไม่กี่ชั่วโมงหลังมี PoC เผยแพร่ (ดูโพสต์ 2026/10/021) ซึ่งสะท้อนว่าระยะเวลาระหว่างการเปิดเผยกับการโจมตีของผลิตภัณฑ์กลุ่มนี้สั้นมาก

แม้ Atlassian ประเมินว่าช่องโหว่รอบนี้ไม่ถึงระดับวิกฤต แต่จำนวน CVE ที่สะสมจากไลบรารีภายนอกทุกเดือน ทำให้องค์กรที่เลื่อนการอัปเดตออกไปสะสมความเสี่ยงเพิ่มขึ้นเรื่อย ๆ และเครื่องมือสแกนช่องโหว่จะยังรายงานคะแนนวิกฤตตามไลบรารีต้นทาง ซึ่งทีมต้องคัดแยกเอง

คำแนะนำ

  • อัปเดต Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible, Jira Software และ Jira Service Management เป็นเวอร์ชันล่าสุด หรือเวอร์ชันที่แก้ไขตาม Security Bulletin ตุลาคม 2569
  • ตรวจทั้ง Security Bulletin และพอร์ทัลเปิดเผยช่องโหว่ของ Atlassian เพราะสองแหล่งรายการ CVE ไม่ตรงกัน เช่น CVE-2026-65905
  • จัดลำดับการอัปเดตให้ Confluence และ Crowd ก่อน เพราะมีช่องโหว่วิกฤตจากไลบรารีภายนอกมากที่สุด
  • ไม่เปิดอินสแตนซ์ Data Center ออกอินเทอร์เน็ตโดยตรง ให้เข้าผ่าน VPN หรือ reverse proxy ที่มีการยืนยันตัวตน
  • ติดตามประกาศของ Atlassian ใกล้ชิด และเตรียมแผนแพตช์ฉุกเฉินสำหรับกรณีที่มี PoC เผยแพร่ เพราะช่วงเวลาก่อนถูกโจมตีอาจเหลือเพียงไม่กี่ชั่วโมง

แหล่งอ้างอิง