Atlassian разкри критична уязвимост за произволен достъп до файлове, засягаща осем продукта, включително Jira, Confluence и Bitbucket. Проследявана под обозначението CVE-2026-21589, уязвимостта има CVSS оценка от 9.3. Тя позволява на неавтентифицирани атакуващи да получат достъп до специфични файлове в директорията web root на засегнатото приложение.
Бюлетинът за сигурност, публикуван на 5 октомври 2026 г., обхваща Bitbucket Data Center, Confluence Data Center, Jira Software Data Center, Jira Service Management Data Center, Bamboo Data Center, Crowd Data Center, Crucible и Fisheye.
Atlassian настоятелно призовава клиентите, работещи със засегнати инсталации, незабавно да инсталират корекции за сигурност. Уязвимостта разкрива файлове в кореновата директория на уеб приложението, без да изисква влизане от страна на атакуващия.
Въпреки това, за извършване на атаката е необходимо познаването на точното име и път до целевия файл. Атакуващите не могат да използват този пробив за преглед на съдържанието на директории или автоматично откриване на налични файлове.
Това ограничение стеснява обхвата на атаката, но не премахва опасността. Atlassian предупреждава, че някои конфигурации могат да съхраняват чувствителни файлове на достъпни места, което увеличава въздействието при успешно използване на уязвимостта.
Оповестеното поведение засяга достъпа до файлове и не трябва да се тълкува като потвърден неограничен достъп до всеки файл на основния сървър.
Atlassian отстранява критични уязвимости
Atlassian описва всички непоправени версии на изброените продукти като засегнати. По-стари инсталации извън периода на поддръжка от производителя също могат да бъдат уязвими, затова организациите, поддържащи наследени системи, трябва да преминат към поддържани версии с отстранени уязвимости.
За Jira Software Data Center коригираните версии са 9.12.40, 10.3.26 и 11.3.12. Потребителите на Jira Service Management Data Center трябва да актуализират до 5.12.40, 10.3.26 или 11.3.12. Корекциите за Confluence Data Center са налични във версии 9.2.26 и 10.2.19.
Клиентите на Bitbucket Data Center трябва да инсталират 9.4.26, 10.2.8 или 10.5.1. Корекциите за Bamboo Data Center са налични в 10.2.24 и 12.1.12. Бюлетинът посочва като коригирани версии за Crowd Data Center 6.3.7, 7.0.3, 7.1.7 и 7.2.4. Потребителите на Crucible и Fisheye трябва да актуализират до 4.9.15.
Администраторите трябва да използват официалния бюлетин на Atlassian при избора на версия за актуализация. Всяка засегната инсталация изисква внимание; обновяването на един продукт не коригира уязвимите версии на останалите.
Atlassian препоръчва инсталирането на посочена коригирана версия или на най-новата версия. Организациите, които не могат да отстранят уязвимостта незабавно, трябва по възможност да премахнат засегнатите инстанции от публичния интернет.
Atlassian заявява, че външно достъпните инсталации изискват ограничения дори когато автентификацията на потребителите защитава нормалния достъп до приложението, тъй като експлоатацията не изисква удостоверен достъп.
Една временна опция е използването на защитна стена за уеб приложения (WAF) или правило за обратен прокси сървър с регулярни изрази, предоставени от Atlassian. Правилото блокира шаблони за преминаване през директории (path traversal), съдържащи съседни точки и разделители на пътища, включително кодирани варианти. Администраторите трябва да тестват дали тяхната реализация обработва правилно посочените шаблони.
Друга опция използва RewriteValve на Tomcat с конфигурация за пренаписване от Atlassian. Администраторите трябва да направят резервно копие на инстанцията, да спрат всеки възел от клъстера, да активират клапана, да инсталират конфигурацията и да рестартират възела. Тези мерки са временни и не заместват инсталирането на корекции за сигурност.
Atlassian съобщава, че засегнатите Cloud продукти вече са коригирани и не се изисква действие от страна на клиентите. При разследването не са намерени доказателства за активна експлоатация.