Atlassian et Splunk corrigent plus de 250 vulnérabilités dans leurs produits

Deux campagnes de mise à jour axées sur les dépendances

Atlassian et Splunk ont publié cette semaine des mises à jour de sécurité corrigeant plus de 250 vulnérabilités au total. L’information a été signalée le 20 août 2026.

Ces interventions concernent des plateformes utilisées pour le développement logiciel, la collaboration, la gestion des incidents et l’analyse des journaux. De nombreuses failles ne se trouvent pas directement dans le code des éditeurs, mais dans des bibliothèques et composants tiers intégrés à leurs produits.

Les conséquences possibles varient selon la vulnérabilité et la configuration du système. Elles incluent l’exécution de code à distance, le déni de service, le vol d’informations, les attaques de type man-in-the-middle, le contournement de l’authentification et la falsification de requêtes côté serveur (SSRF), avec des requêtes dirigées vers des ressources internes.

Aucune campagne d’exploitation active liée à ces failles précises n’a été signalée. On ignore également si une ou plusieurs de ces vulnérabilités figurent dans le catalogue KEV de la CISA. Aucun identifiant CVE individuel n’est par ailleurs disponible pour l’ensemble des correctifs.

Atlassian met à jour six produits principaux

Mardi, Atlassian a publié un Security Bulletin annonçant des correctifs pour 10 vulnérabilités critiques et 162 vulnérabilités de gravité élevée. Les mises à jour concernent :

• Bamboo ;
• Bitbucket ;
• Confluence ;
• Crowd ;
• Fisheye/Crucible ;
• Jira.

Le total semble correspondre à environ 109 CVE uniques, car une même faille peut affecter plusieurs produits partageant une bibliothèque donnée. Les identifiants des problèmes individuels n’ont pas été communiqués.

Cette caractéristique complique l’évaluation des environnements d’entreprise. Une organisation peut en effet devoir mettre à jour plusieurs plateformes simultanément, même lorsque la vulnérabilité ne provient pas du composant principal du produit, mais d’une dépendance commune.

L’impact réel dépend du service concerné, de la bibliothèque vulnérable et de la configuration de l’instance. Une installation exposée à Internet, connectée à des systèmes externes ou dotée d’intégrations automatisées présente une surface de risque plus importante qu’un environnement isolé.

Splunk intervient sur Enterprise, SOAR et les composants associés

Mercredi, Splunk a annoncé des correctifs pour au moins 150 vulnérabilités réparties entre Splunk Enterprise, Splunk SOAR, Universal Forwarder, des applications, des modules complémentaires, des plug-ins et des bibliothèques tierces.

Chez Splunk également, plusieurs dizaines de problèmes sont classés comme critiques ou de gravité élevée. L’éditeur signale en outre plusieurs failles nécessitant une attention particulière, sans fournir dans les documents disponibles de critères plus précis pour en définir la priorité.

Splunk Enterprise

Les versions de Splunk Enterprise 10.4.2, 10.2.6, 10.0.9 et 9.4.14 corrigent 60 vulnérabilités, dont trois critiques.

Au moins 24 failles, parmi lesquelles plusieurs problèmes critiques, ont été corrigées dans des packages tiers utilisés par le produit. Le contrôle ne doit donc pas se limiter à la version de Splunk Enterprise : les administrateurs doivent également vérifier l’état des dépendances installées.

Le produit peut collecter et analyser des données provenant de nombreuses infrastructures. Une compromission réussie pourrait ainsi exposer des informations opérationnelles, des configurations, des identifiants ou des connexions vers d’autres systèmes, selon les privilèges attribués à l’instance.

Applications, modules complémentaires et Splunk SOAR

De nouvelles versions d’applications et de modules complémentaires Splunk corrigent des vulnérabilités critiques. Les composants concernés incluent notamment :

• AI Toolkit ;
• Connect for Kafka ;
• MCP Server app ;
• On-Call.

Des correctifs sont également disponibles pour Splunk SOAR, notamment pour des vulnérabilités présentes dans ses dépendances tierces. Les versions corrigées des différentes applications, des modules complémentaires et de SOAR n’ont pas été communiquées. Il faut donc consulter les avis officiels de chaque composant avant toute installation.

Splunk Enterprise Security 8.6.1 corrige également deux vulnérabilités de gravité élevée.

Les SOAR Connectors reçoivent des mises à jour corrigeant 17 vulnérabilités de gravité moyenne et faible. Universal Forwarder corrige quant à lui trois vulnérabilités de gravité moyenne présentes dans OpenSSL.

Pourquoi les dépendances partagées accroissent le risque opérationnel

Le nombre élevé de vulnérabilités ne signifie pas nécessairement que chaque produit contient des centaines de failles distinctes. Une part importante provient de composants logiciels réutilisés dans plusieurs plateformes.

Lorsqu’une bibliothèque partagée est corrigée, l’éditeur doit distribuer des mises à jour pour tous les produits qui l’intègrent. Les administrateurs doivent donc cartographier les installations réellement déployées, y compris les applications, les plug-ins, les connecteurs et les modules additionnels.

Le risque est plus élevé dans les systèmes :

• accessibles depuis Internet ;
• intégrés à des services externes ;
• autorisés à effectuer des requêtes vers des réseaux internes ;
• utilisés pour gérer l’authentification et les autorisations ;
• connectés à des données sensibles ou à des infrastructures opérationnelles.

Les vulnérabilités de type SSRF peuvent par exemple permettre à un attaquant d’utiliser le serveur compromis pour accéder à des ressources qui ne sont pas directement exposées. Les failles d’authentification peuvent quant à elles affaiblir ou contourner les contrôles séparant les utilisateurs, les rôles et les fonctions d’administration.

Aucun indicateur de compromission, aucune règle de détection ni aucun contournement spécifique n’est disponible. On ignore également si des vulnérabilités Atlassian ou Splunk récemment ajoutées au catalogue KEV de la CISA sont liées à cet ensemble de failles.

Ce que doivent faire les administrateurs

La principale mesure consiste à appliquer les mises à jour officielles des éditeurs, après avoir vérifié la compatibilité et les dépendances de l’environnement.

Pour Atlassian, il faut mettre à jour Bamboo, Bitbucket, Confluence, Crowd, Fisheye/Crucible et Jira vers les versions intégrant les correctifs. Les numéros de version corrigés de chaque produit n’ont pas été communiqués.

Pour Splunk Enterprise, la branche utilisée doit être mise à niveau vers l’une des versions suivantes : 10.4.2, 10.2.6, 10.0.9 ou 9.4.14. Enterprise Security doit être mis à jour vers la version 8.6.1.

Les versions d’AI Toolkit, de Connect for Kafka, de MCP Server app, d’On-Call, de Splunk SOAR, de SOAR Connectors et d’Universal Forwarder doivent également être contrôlées et mises à jour lorsque les correctifs sont disponibles. La vérification doit inclure OpenSSL et les autres dépendances tierces.

La priorité doit être donnée aux systèmes exposés sur Internet, aux instances traitant des données d’entreprise et aux environnements capables d’atteindre des réseaux internes. En l’absence de mesures de contournement documentées, conserver en production des versions vulnérables revient à maintenir une surface d’attaque susceptible de toucher plusieurs produits simultanément.