CISA KEV: Útočníci čtou soubory Atlassian
CISA zařadila mezi aktivně zneužívané zranitelnosti chybu, která bez přihlášení zpřístupňuje určité soubory v osmi produktech Atlassian. Opravy jsou dostupné, ale správci musí zkontrolovat všechny dotčené instalace, nikoli jen Jiru nebo Confluence.
CVE-2026-21589 získala od Atlassian hodnocení CVSS 4.0 9,3. Umožňuje vzdálenému neautentizovanému útočníkovi číst určité soubory v kořenovém adresáři webové aplikace. Podmínkou je znalost přesného názvu a cesty cílového souboru; chyba neumožňuje vypsat obsah adresářů. Dopad závisí také na tom, zda jsou v dosažitelném prostoru konkrétní instalace citlivé soubory. Nejde o obecný přístup ke všem souborům operačního systému.
Dotčeny jsou Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo a Crowd v edicích Data Center a dále Crucible a Fisheye. Atlassian zveřejnil bezpečnostní oznámení 5. října 2026, CISA chybu přidala do katalogu KEV 15. října. Novou informací je tedy její zařazení mezi prokazatelně zneužívané chyby; nejde o nově vydanou opravu.
Pro Bitbucket jsou opravené verze 9.4.26, 10.2.8 a 10.5.1, pro Confluence 9.2.26 a 10.2.19. Jira Software má opravy ve verzích 9.12.40, 10.3.26 a 11.3.12; Jira Service Management ve verzích 5.12.40, 10.3.26 a 11.3.12. U Bamboo jde o 10.2.24 a 12.1.12, u Crowd o 6.3.7, 7.0.3, 7.1.7 a 7.2.4. Crucible i Fisheye mají opravu ve verzi 4.9.15. Správci mají pro každou používanou větev zvolit odpovídající opravené nebo novější vydání podle tabulky výrobce.
Pokud aktualizaci nelze nasadit ihned, Atlassian doporučuje dočasně omezit dostupnost z internetu nebo použít zveřejněná filtrační pravidla na WAF či reverzní proxy. Pro vybrané produkty nabízí také postup úpravy aplikačního serveru; u Bitbucketu samostatný postup zahrnuje všechny uzly clusteru i zrcadla. Samotná přihlašovací stránka před běžným rozhraním chybu neřeší, protože k jejímu zneužití není účet potřeba. Dočasná ochrana musí pokrýt skutečné přístupové cesty a nenahrazuje aktualizaci.
Výrobce doporučuje prověřit přístupové záznamy na všech dotčených instancích. Při hledání podezřelých požadavků je nutné zohlednit i zakódované varianty URL podle jeho detekčních pokynů. Nasazení opravy odstraní zranitelnost, ale samo neodpoví na otázku, zda někdo soubory četl už předtím.
Dotčené cloudové produkty Atlassian již výrobce opravil a zákazníci těchto služeb podle oznámení nemusí zasahovat. Vyjádření o nezjištěných důkazech zneužití se v oznámení vztahuje ke cloudovým službám; nelze je přenášet na vlastní instalace Data Center.
Podrobnější souvislosti a dočasná ochranná opatření popisuje náš článek Atlassian opravuje čtení souborů bez přihlášení
