Atlassian DC 18 августа: 162 high, lodash 9.8 и фикс Jira 11.3.10

18 августа Atlassian закрыла 162 high и 10 critical в зависимостях DC. Jira и JSM: CVE-2026-4800, lodash 9.8. Фикс 11.3.10 или 10.3.24.

18 августа 2026 Atlassian выпустила monthly Security Bulletin по Data Center и Server. В списке 162 уязвимости high и 10 critical. Все в чужих библиотеках, не в коде Atlassian. Для админа Jira Software и Jira Service Management Data Center главная строка: CVE-2026-4800 в lodash, CVSS 9.8, плюс Babel и tar. Фикс: 11.3.10 или 10.3.24. Чужой CVE мы не закрываем.

Что закрыли в бюллетене 18 августа

Первоисточник: August 2026 Security Bulletin. Atlassian пишет прямо: в их применении этих зависимостей риск ниже critical. Monthly bulletin так и устроен. Если риск immediate critical, выходит отдельный advisory, не эта таблица.

По Jira Software DC в той же таблице: lodash, CVE-2026-4800, оценка 9.8. Рядом @babel/traverse (CVE-2023-45133, 9.3) и node-tar (CVE-2026-59873, 9.2). Jira Service Management DC: тот же lodash и tar. Цифра 9.8 говорит про библиотеку. Не про то, что ваш Jira уже открыт на RCE с периметра.

Кому сверять версию Jira и JSM

Админу Jira или JSM Data Center. Открыть бюллетень, найти продукт, сверить сборку с 11.3.10 или 10.3.24. Cloud сюда не входит: это другой контур и другой цикл патчей. Пока версия старая, не читать заголовок «critical 9.8» как сигнал, что продукт уже взломан. Читать как очередь на апгрейд и как проверку, торчит ли инстанс дальше своего контура.

Зависимости DC (lodash, Babel, tar) патчит вендор DC. Это их цикл, их бюллетень, их оценка «в нашем применении ниже critical». Админ сверяет версию и ставит фикс. Разбирать lodash за Atlassian смысла нет.

Свой контур и чужой Data Center

Головная боль этого бюллетеня: вы живёте на стеке, где чужие зависимости чужого DC приезжают пачкой раз в месяц. Это не баг админки. Это устройство продукта, который вы не собираете.

Utracker ставится self-hosted в контуре заказчика. Мы не патчим Jira и не закрываем CVE Atlassian. Если ставка «не жить на чужом DC», тема на работе другая: переезд с Jira на Utracker. Сначала версия 11.3.10 или 10.3.24, потом уже разговор про контур. Соседний разбор про Cloud и metadata: метаданные Atlassian и CVE YouTrack.