Atlassian предупреждава своите клиенти за критична уязвимост, проследявана като CVE-2026-21589, която може да бъде експлоатирана за произволен достъп до файлове в множество самостоятелно хоствани (self-hosted) Data Center продукти, включително Confluence, Jira и Bitbucket.

Проблемът със сигурността позволява на неудостоверен атакуващ да получи достъп до специфични файлове в основната уеб директория (web root) на засегнатото приложение. Експлоатацията обаче изисква познаване на точното име на файла и пътя до него.

„Тази уязвимост за произволен достъп до файлове позволява на неудостоверен атакуващ да получи достъп до специфични файлове в основната директория на уеб приложението в засегнатите версии“, се казва в бюлетина за сигурност.

„Експлоатацията изисква предварително познаване на точното име и път на целевия файл; тази уязвимост не позволява на атакуващите да изброяват или показват съдържанието на директориите“, заявяват от Atlassian.

CVE-2026-21589 засяга всички версии на продуктите, издадени преди изброените по-долу издания, които отстраняват уязвимостта:

  • Bitbucket Data Center: 9.4.26, 10.2.8, 10.5.1
  • Confluence Data Center: 9.2.26, 10.2.19
  • Jira Service Management Data Center: 5.12.40, 10.3.26, 11.3.12
  • Jira Software Data Center: 9.12.40, 10.3.26, 11.3.12
  • Bamboo Data Center: 10.2.24, 12.1.12
  • Crowd Data Center: 6.3.7, 7.0.3, 7.1.7, 7.2.4
  • Crucible: 4.9.15
  • Fisheye: 4.9.15

Atlassian призовава системните администратори, които управляват самостоятелно хоствани инстанции, незабавно да инсталират корекциите за сигурност. Клиентите на облачни услуги не е необходимо да предприемат действия, тъй като доставчикът автоматично е отстранил уязвимостта в своите продукти.

Ако незабавното отстраняване на уязвимостта не е възможно, компанията препоръчва да се ограничи външният мрежов достъп, включително за инстанции с достъп до интернет, които изискват автентификация на потребителя.

Временните мерки за защита включват добавяне на защитна стена за уеб приложения (WAF) или правило за прокси, блокиращо определени модели за обхождане на директории (traversal patterns) във всички засегнати продукти, правила Tomcat RewriteValve за Confluence, JSM, Jira, Bamboo и Crowd, или правило за пренаписване на URL за Bitbucket.

Бюлетинът на Atlassian предлага инструкции стъпка по стъпка и подробности за конфигурацията за прилагане на препоръчителните временни мерки.

Промените трябва да обхванат всеки възел от клъстера, включително огледалните сървъри (mirrors) на Bitbucket и възлите от фермата за огледални копия.

От Atlassian заявиха, че към момента нямат доказателства CVE-2026-21589 да се експлоатира при атаки, но призовават администраторите да прегледат логовете за достъп за моделите на обхождане, описани в бюлетина.

Доставчикът посочва, че не може да установи дали отделни клиентски инстанции са били компрометирани, и съветва клиентите, използващи самостоятелно хоствани инстанции, да се свържат със своя локален екип по сигурност.