Atlassianが2026年8月18日、月次のセキュリティ速報（Security Bulletin）を公開しました。修正されたのはHigh 162件・Critical 10件の計172件です。ただし件数に驚く必要はありません。172件のうち171件はサードパーティ製ライブラリ由来で、Atlassian自身も「自社製品での使われ方に照らせば緊急性は低い」と評価しています。
本命は残る1件、CVE-2026-21582（CVSS 8.8 High）です。これはAtlassian自身のコードにある認証・セッション管理の不備で、未認証の攻撃者が別のユーザーとして操作できるものです。しかも影響が出ているのは、社内の認証基盤に座るCrowdと、Jira／Jira Service Managementです。
この記事でわかること
- 今回の172件のうち、実際に優先すべき1件はどれか
- Crowdとは何者で、「うちは入れていない」と思っている組織にも関係する理由
- 残り171件（依存ライブラリ由来）の現実的なさばき方
- 修正版がすべて「Data Center Only」と書かれていることの意味
Crowdとは何か。「導入していない」組織にも関係する理由
Atlassian Crowdとは、Jira・Confluence・Bitbucketなどに一つのIDでログインさせるためのシングルサインオン（SSO）／ユーザーID管理サーバです。
用途はそのまま認証基盤です。Atlassianの製品ページは、Active Directory・LDAP・OpenLDAP・Microsoft Entra ID（旧Azure AD）など複数のディレクトリを束ねて管理でき、Atlassian製品に加えてGoogle Appsやサードパーティのアドオンにも統合できると説明しています。情シスが「Atlassian製品群のログインをまとめる」目的で立てるサーバ、と考えてください。
そして重要なのがここです。Crowdを単体で導入した覚えがなくても、JiraやConfluenceの内部にはユーザー管理コンポーネントとして「Embedded Crowd」が組み込まれています。Atlassianのナレッジベースは、Jiraのユーザー管理に関する修正は多くがまずCrowdで修正され、その後Jiraへ移植されると説明しています。今回のCVE-2026-21582が、Crowd Data Center・Jira Data Center・Jira Service Management Data Centerの3製品の欄に同じCVE番号で並んでいるのは、この構造と整合します。
つまり「うちはCrowdを使っていない」は、Jira／JSMをData Centerで自社運用しているなら安心材料になりません。
何が起きたのか：172件の内訳
Atlassianは毎月第3火曜日ごろ、その月のリリースで修正した脆弱性をまとめて公開しています。2026年8月分が8月18日に出て、JPCERT/CCも8月26日のWeekly Reportで「複数のAtlassian製品に脆弱性」として取り上げました。対象はData CenterおよびServer製品で、クラウド版（atlassian.netのURLで使うもの）は本速報の対象外です。
製品別の件数と修正版は次のとおりです。
| 製品 | 掲載件数 | 修正版（推奨） |
|---|---|---|
| Crowd Data Center | 38 | 7.2.2〜7.2.3 |
| Jira Data Center | 35 | 11.3.10 LTS / 10.3.24 LTS |
| Jira Service Management Data Center | 33 | 11.3.10 LTS / 10.3.24 LTS |
| Bamboo Data Center | 30 | 12.1.10 LTS / 10.2.22 LTS |
| Confluence Data Center | 16 | 10.2.15 LTS / 9.2.23 LTS |
| Bitbucket Data Center | 15 | 10.4.2 / 10.2.6 LTS / 9.4.23 LTS |
| Fisheye/Crucible | 5 | 4.9.13 |
※ 各製品には複数のサポート系列があります。自社の系列に対応する修正版は必ず速報の原典で確認してください。なお前月（7月21日）の速報は101件でしたので、件数は増えています。
種別で見ると、172件のうち82件がDoS（サービス運用妨害）で、約半数を占めます。次いでインジェクション23件、情報漏えい11件、中間者攻撃11件、RCE 10件という並びです。DoSが多いという事実は、優先度を決めるうえで実務的な意味があります。社外公開していないData Center環境であれば、DoSの多くは「業務が止まるリスク」であって「乗っ取られるリスク」ではないからです。
優先すべきはCVE-2026-21582だけと言える理由
172件のうち、Atlassian自身のコードに起因する脆弱性はCVE-2026-21582の1件だけです（残りはすべて「〜Dependency」と明記された第三者ライブラリ由来）。Atlassianはこれを自社のペネトレーションテストプログラム経由で報告されたものと記載しています。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-21582 |
| 種別 | BASM（認証・セッション管理の不備） |
| CVSS | 8.8 High（CVSS 4.0） |
| ベクタ | AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N |
| 影響 | 未認証の攻撃者が別のユーザーとして操作を行える |
| 作り込み | Crowd Data Center 7.2.1 |
| 修正 | Crowd 7.2.2以降。Jira／JSMは11.3.10 LTS・10.3.24 LTS |
| 公表 | 2026年8月18日 |
ベクタの読み方で押さえるべき点は3つです。PR:N（権限不要＝未認証）で成立すること、SC:H/SI:H（後続システムへの影響が高い）と評価されていること、そしてAC:H／AT:P／UI:Pという成立条件の厳しさです。
SC/SIが高い点は、認証基盤の脆弱性らしい評価です。CrowdはAtlassian製品群にSSOを提供する立場なので、そこで別ユーザーになりすませるということは、影響がCrowd単体では終わらないことを意味します。逆にAC:H（攻撃条件が複雑）とUI:P（受動的なユーザー関与が必要）が付いているため、放っておけば即座に全滅、という性質ではありません。「今夜中に緊急メンテ」ではなく「次の定例メンテで最優先」が現実的な落としどころでしょう。
なお、NVDおよびAtlassianの脆弱性説明はCrowd Data Center 7.2.1を起点として書かれており、Jira／JSM側で作り込まれたバージョンは本稿執筆時点で明示されていません。該当判定は「作り込みバージョン」ではなく、各製品の修正版に達しているかで行うのが確実です。
残り171件はどうさばくか
依存ライブラリ由来の171件を1件ずつ追うのは、現実的ではありませんし意味も薄いです。Atlassianは速報の中で、第三者ライブラリの脆弱性について「Atlassianの実装における使われ方では、より低い、非クリティカルなリスクと評価される」と明記しています。CVSSが9点台でも、製品内での到達可能性が低ければ実リスクは下がる、という話です。
実際、今回のCritical 10件はすべて依存ライブラリ由来です。ライブラリ別の内訳を見ると、axiosが27件と突出し、以下netty系（netty-codec-http 12件ほか）、tar 9件、PostgreSQL JDBCドライバ8件、fast-uri 8件、micrometer-core 8件と続きます。要するに「1つのライブラリ更新で数十件が一気に消える」構造です。件数ではなく、上げるべきライブラリの本数で捉えるべきものです。
もう一点、気になる事実があります。Critical 10件のなかにCVE-2021-44906（minimist、2021年採番、CVSS 9.8）やCVE-2023-45133（@babel/traverse、2023年採番、CVSS 9.3）が混じっています。2022年のCVE-2022-3517（minimatch）もあります。数年前のCVEが2026年8月の速報に載るということは、その間ずっと古いバージョンが同梱されていたということです。ベンダーの依存棚卸しにも遅れは出る、という前提で自社のリスク評価を組み立てたほうが安全です。同じ「見えない同梱」の構図は、Bouncy Castleの脆弱性22件やDell VSIが70件をまとめて修正した件でも繰り返し見てきたとおりです。
修正版がすべて「Data Center Only」である意味
今回の速報で、影響を受ける製品名は「Bamboo Data Center and Server」のように書かれています。しかし修正版の欄を見ると、ほぼすべてに「Data Center Only」と付記されています。
これは表記の揺れではありません。Atlassian Server製品は2024年2月15日にサポートを終了しており、技術サポートもセキュリティ更新もバグ修正も提供されません。つまり、今もServer版を動かしている組織には、今回の172件に対する修正版が存在しないということです。
「影響を受けるバージョン」に自社が入っているのに、上げ先がない。この状況は珍しくありません。当サイトでもWatchGuard Fireboxで11.x系だけ修正が出なかった事例を取り上げましたが、構図は同じです。該当するなら、パッチ適用ではなく移行計画と暫定的な緩和策（アクセス元IPの制限、社外公開の停止、認証前段へのリバースプロキシ配置など）が議題になります。
現場目線の課題：認証基盤は「止められない」から後回しになる
正直なところ、Crowdのような認証基盤の更新は、いちばん後回しにされやすい部類です。理由は単純で、止めると全社が止まるからです。Jira・Confluence・Bitbucketのログインが軒並み通らなくなるため、メンテ枠の確保に他部署との調整が要り、調整が要るということは先送りされるということです。
加えてAtlassian製品は、情シスではなく開発部門や事業部門が導入して運用しているケースが少なくありません。「バージョンを聞いても誰も即答できない」「そもそも社内にいくつ立っているか把握できていない」という状態は、決して珍しくないと感じます。今回のように「172件」という数字が独り歩きすると、まず数字に驚き、次に内訳を見て安心し、結局本命の1件が埋もれる——という流れになりがちです。
だからこそ、今回やるべきことは絞ってよいと考えます。管理画面のバージョン表示を控え、Crowd／Jira／JSMを最優先で修正版に上げる。まずはそれだけです。
情シスはどうすべきか
手順としては次の順で切り分けるのが早いです。
- 提供形態を確認する。クラウド版（atlassian.net）なら本速報の対象外です。ここで大半はふるい落とせます。
- Data Centerなら、Crowd／Jira／Jira Service Managementを最優先で修正版（Crowd 7.2.2以降、Jira系は11.3.10 LTSまたは10.3.24 LTS）に上げます。
- Server版なら、修正は来ません。移行を議題に上げ、それまでの緩和策を決めます。
- Bamboo・Confluence・Bitbucket・Fisheye/Crucibleは、通常のパッチ運用のサイクルで最新のLTSに寄せます。
なお、こうした「自社の資産と脆弱性情報を突き合わせる」運用そのものに不安がある場合は、自前でチェックリストを作る前に公的な指針を土台にするのが確実です。IPAの中小企業の情報セキュリティ対策ガイドラインは、資産管理と脆弱性対応の位置づけを含めて体系立てて整理されています。また、認証基盤が侵害された前提での動き方を確認しておきたい場合は、IPAのセキュリティインシデント対応 机上演習教材が使えます。「SSOが破られたら何が連鎖するか」を関係部署と一度共有しておくと、更新のメンテ枠を確保する話も通しやすくなります。
そして地味ですが、利用部門への説明も効きます。認証基盤の更新は「止まる不便」だけが見えて「守られる利益」が見えにくいため、なぜこの1件を優先するのかを一言添えるかどうかで、次回以降の調整コストが変わります。SSO周りの脆弱性がどう連鎖するかは、Better AuthのSSO／SCIM連携に影響した脆弱性の回も参考になります。
中長期の視点：Data Centerにも期限がある
今回「Data Center Only」の表記に安心した組織にも、時間の制約はあります。Atlassianは2025年9月8日、Data Center製品についても段階的な終了を発表しています。新規顧客向けの販売は2026年3月30日に終了、既存顧客による新規ライセンス購入は2028年3月30日まで、そして2029年3月28日にData Centerのサポートが終了し、ライセンスは失効して読み取り専用になるとされています。
つまり、オンプレミスでAtlassianを運用している組織にとって、月次速報への対応は「あと数年の話」でもあります。毎月の172件をどうさばくかと並行して、移行の検討時期を経営層と共有しておくのが現実的でしょう。
まとめ
- 172件のうち優先すべきは1件。CVE-2026-21582（CVSS 8.8、未認証で他ユーザーとして操作可能）だけがAtlassian自身のコード由来で、Crowd・Jira DC・Jira Service Management DCが対象です。
- 「Crowdは入れていない」は安心材料にならない。JiraにはEmbedded Crowdとしてユーザー管理コンポーネントが組み込まれており、同じCVE番号がJira／JSMの欄にも並んでいます。
- 修正版はすべてData Center向け。Server版は2024年2月15日にサポート終了済みで修正は提供されません。該当するならパッチではなく移行と緩和策の議論に切り替えてください。
出典
- Atlassian「Security Bulletin – August 18 2026」https://confluence.atlassian.com/security/security-bulletin-august-18-2026-1821999768.html
- JPCERT/CC「Weekly Report 2026-08-26」【10】複数のAtlassian製品に脆弱性 https://www.jpcert.or.jp/wr/2026/wr260826.html
- NVD「CVE-2026-21582」https://nvd.nist.gov/vuln/detail/CVE-2026-21582
- Atlassian「Crowd – Single sign-on and user identity」https://www.atlassian.com/software/crowd
- Atlassian ナレッジベース「How to determine the Embedded Crowd version used for JIRA’s User Management」該当ページ
- Atlassian「Server End of Support FAQ」https://www.atlassian.com/licensing/server-end-of-support
- Atlassian「Ascend to the cloud: The next chapter for Atlassian and our customers」（2025年9月8日）https://www.atlassian.com/blog/announcements/atlassian-ascend
- IPA「中小企業の情報セキュリティ対策ガイドライン」https://www.ipa.go.jp/security/guide/sme/about.html
