Atlassian CVE-2026-21589: kritikal na flaw na walang login sa Jira, Confluence at Bitbucket Data Center, may mga pagtatangka nang i-exploit

Panimula

Noong Oktubre 5, 2026, naglabas ang Atlassian ng out-of-band na security advisory para sa CVE-2026-21589, isang arbitrary file access flaw na tumatama sa lahat ng bersyon ng walong self-hosted na produkto: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo at Crowd (lahat sa Data Center edition), pati na ang Crucible at Fisheye. Ang Atlassian mismo ang nag-rate dito bilang critical (CVSS 4.0: 9.3). Kaya ng isang attacker na walang login na basahin ang mga file sa loob ng root directory ng web application.

Ang bilis ng mga pangyayari ang nagpaapura sa kasong ito. Isang araw matapos ang advisory, inilathala ng watchTowr Labs ang technical analysis nito. Ilang oras lang ang lumipas, iniulat ng threat intelligence firm na Previdian na may mga pagtatangkang i-exploit ito na tumatama na sa honeypot network nito.

Kung ang kumpanya mo, o isang vendor na nagtatrabaho para sa iyo, ay nagpapatakbo ng Jira, Confluence o Bitbucket sa sarili nitong server o sa sarili nitong cloud account (AWS, Azure at iba pa), para sa iyo ang artikulong ito. Binubuod namin kung ano ang nakumpirma, aling mga bersyon ang nag-aayos sa problema, ano ang gagawin kung hindi ka makakapag-upgrade ngayon at paano maghanap ng palatandaan ng atake sa mga log. Hindi kami naglalathala ng exploit code o step-by-step na paraan ng pag-atake. Lahat ng impormasyon ay galing sa mga sanggunian sa dulo.

Ano ang kinumpirma ng Atlassian

Ayon sa opisyal na advisory:

• Pinapayagan ng flaw ang isang unauthenticated na attacker na ma-access ang mga partikular na file sa loob ng root directory ng web application.
• Para ma-exploit ito, kailangang alam ang eksaktong pangalan at path ng target na file. Hindi kayang ilista ng flaw ang laman ng mga directory.
• "Sa ilang configuration, maaaring may mga sensitibong file na nagpapataas ng iyong panganib," sabi ng kumpanya.
• Na-patch na ang mga apektadong produkto ng Atlassian Cloud, at walang nakitang ebidensya ng exploitation ang imbestigasyon ng Atlassian. Walang kailangang gawin ang mga Cloud customer.
• Sinabi ng Atlassian na hindi nito makukumpirma kung naapektuhan ang mga instance ng isang customer, at inirerekomenda nitong suriin ng security team ang bawat installation.

Bakit 9.3 ang "pagbasa lang ng file"

Sa unang tingin, mas mukhang hindi seryoso ang pagbasa ng mga file mula sa application folder kaysa sa pagpapatakbo ng code. Ipinapakita ng analysis ng watchTowr kung bakit hindi ganoon kasimple:

1. Iisang ugat ng problema. Iisang library ang ginagamit ng walong produkto, ang atlassian-plugins-webresource. Dahil sa path-handling logic nito, nalalampasan ang mga proteksyon laban sa path traversal. Kaya lumilitaw ang parehong flaw sa magkakaibang produkto.
2. Abot. Sa mga test ng watchTowr sa Jira, Confluence at Bitbucket, nabasa ang anumang file sa loob ng application server (nang hindi lumalabas sa Tomcat context), kasama ang mga file sa WEB-INF folder na karaniwang protektado.
3. Ang ugnayan sa Crowd. Kapag gumagamit ang Jira ng Atlassian Crowd (ang sentral na identity at SSO service ng Atlassian), nasa WEB-INF/classes/crowd.properties ang configuration. Ayon sa watchTowr, nakaimbak sa file na ito ang pangalan at password ng application nang plaintext. Gamit ang mga credential na iyon, kaya ng attacker na direktang kausapin ang Crowd, ilista ang mga user, gumawa ng mga account at idagdag ang mga ito sa mga administrator group. Sa lab ng watchTowr, humantong ito sa administrator access sa Jira.

Ayon sa watchTowr, kung tumatanggap lang ang Crowd ng koneksyon mula sa allowlist ng mga IP address, magiging mas mahirap ang sitwasyong ito. Gumawa ang firm ng buong proof of concept pero hindi ito inilathala. Isang tool lang ang inilabas nito para tingnan kung vulnerable ang isang Jira, Confluence o Bitbucket instance.

Nakababahala rin ang laki ng saklaw. Ayon sa watchTowr, halos 700,000 instance ng Confluence pa lang ang lumalabas sa isang paghahanap sa internet.

Timeline

• Oktubre 5: Inilabas ng Atlassian ang advisory at ang mga naayos na bersyon.
• Oktubre 6: Inilathala ng watchTowr ang technical analysis nito. Pagkalipas ng ilang oras, iniulat ng Previdian ang mga pagtatangkang mag-exploit sa mga honeypot nito, ayon sa Help Net Security.
• Oktubre 7: Idinagdag ng VulnCheck ang CVE-2026-21589 sa sarili nitong listahan ng known exploited vulnerabilities (KEV) matapos makakita ng aktibidad laban sa Bamboo Data Center, ayon sa Infosecurity Magazine.
• Oktubre 12 (ngayon): Wala pa ang flaw sa KEV catalog ng CISA. Sinuri namin ang catalog version 2026.10.08.

Isang mahalagang punto: ang mga pampublikong ulat ay tungkol sa mga pagtatangkang mag-exploit na nakita sa mga honeypot. Wala kaming nakitang pampublikong ulat ng kumpirmadong biktima. Hindi iyon dahilan para maghintay. Dapat ituring na target ang mga instance na nakalantad sa internet.

Mga naayos na bersyon

Inirerekomenda ng Atlassian na i-upgrade ang bawat installation sa isa sa mga bersyon sa ibaba, o sa pinakabagong bersyon. Apektado ang lahat ng mas naunang bersyon.

Inirerekomenda ng Atlassian na lumipat sa naayos na LTS version o mas bago. Ang kasalukuyang patakaran ng kumpanya ay maglabas ng mga bagong maintenance release sa halip na binary patch.

Kung hindi ka makakapag-upgrade ngayon

Naglista ang Atlassian ng mga pansamantalang hakbang. Ang una at pinakasimple ay alisin ang instance sa internet hanggang mailapat mo ang fix o isang mitigation. Kasama rito ang mga instance na may login, dahil hindi kailangan ng flaw ang authentication.

Kung kailangang manatiling naaabot ang instance, may tatlong opisyal na opsyon:

1. Rule sa WAF o reverse proxy (lahat ng produkto): i-block ang mga URL na tumutugma sa regular expression na inilathala ng Atlassian, na humaharang sa .. na katabi mismo ng /, \ o ::, kasama ang mga URL-encoded na anyo. Pagkatapos ilapat, subukan kung gumagana ang pag-block.
2. RewriteValve ng Tomcat (Confluence, Jira, JSM, Bamboo at Crowd): isang rule sa rewrite.config, inilalapat sa bawat node ng cluster, at may backup muna.
3. Rule sa urlrewrite.xml (Bitbucket lang): inilalapat sa lahat ng node, mirror at mirror farm.

Gamitin ang eksaktong teksto ng advisory ng Atlassian sa pag-configure ng mga rule na ito at huwag kopyahin ang mga bersyon ng ibang partido. Tandaan na tulay lang ang mitigation, hindi solusyon. Pag-upgrade pa rin ang layunin.

Paano tingnan kung may mga pagtatangkang umatake

Pinapayuhan ng Atlassian na maghanap ng ebidensya sa mga access log:

• i-URL-decode ang bawat request line (hanggang dalawang beses na decoding) at hanapin ang .. na katabi mismo ng /, \ o ::; o
• hanapin sa raw at hindi naka-decode na mga linya gamit ang parehong regular expression mula sa advisory.

Sa praktika, ito ang inirerekomenda namin sa aming mga kliyente:

1. Gumawa ng imbentaryo. Ilista ang bawat Data Center, Crucible at Fisheye instance, kasama ang mga test instance at ang mga pinapatakbo ng vendor para sa iyo.
2. Suriin ang mga log mula Oktubre 5, at mas mabuti kung mas maaga pa. Kung mabilis mag-rotate ang mga log mo, kopyahin na ang mga ito sa isang sentral na lokasyon ngayon.
3. Kung gumagamit ka ng Crowd, palitan ang mga application password na naka-configure sa crowd.properties at sa mga katulad na integration, lalo na kung may makita kang kahina-hinalang request. Suriin ang mga user at administrator group na kamakailang ginawa o binago.
4. Limitahan ang Crowd sa isang allowlist ng mga IP address, gaya ng mismong mungkahi ng watchTowr.
5. Tingnan kung may iba pang sikreto sa mga configuration file sa loob ng application folder.
6. Kung may makita kang palatandaan ng compromise, ingatan muna ang mga log bago galawin ang server at tawagan ang iyong team o isang incident response partner.

Konklusyon

Pinagsasama ng CVE-2026-21589 ang tatlong salik na kadalasang nauuwi sa masama: hindi nito kailangan ng login, tinatamaan nito ang lahat ng bersyon ng malawakang ginagamit na mga produkto at nakaakit ito ng mga pagtatangkang mag-exploit ilang oras lang matapos lumabas ang technical analysis. Walang kailangang gawin ang mga gumagamit ng Atlassian Cloud. Ang sinumang nagpapatakbo ng Jira, Confluence, Bitbucket, Bamboo o Crowd sa sariling server ay dapat mag-upgrade ngayon, o kahit man lang alisin ang instance sa internet at ilapat ang opisyal na mitigation, saka suriin ang mga log at ang mga credential ng Crowd.

Ia-update namin ang artikulong ito kung idagdag ng CISA ang flaw sa KEV o kung maglabas ang Atlassian ng mga bagong impormasyon.

Mga Sanggunian

• Atlassian: CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products (opisyal na advisory, Okt 5, 2026)
• watchTowr Labs: Atlassian Jira, Confluence (and more) Pre-Auth Arbitrary File Read CVE-2026-21589 (technical analysis, Okt 6, 2026)
• Help Net Security: Exploitation attempts against critical Atlassian flaw have begun (CVE-2026-21589)
• Infosecurity Magazine: Critical Flaw in Multiple Atlassian Products Exploited in the Wild
• CISA: Known Exploited Vulnerabilities Catalog (sinuri ang version 2026.10.08 noong Okt 12, 2026)

---

Gusto mo ba ito para sa iyong negosyo?

Tinutulungan ng KGA IT ang maliliit at katamtamang negosyo na mag-set up ng mga AI assistant, automation at website. Libre ang konsultasyon at sasagot kami sa loob ng 24 oras. Ang mga plano ay nagsisimula sa ¥5,000/buwan.

• Telepono: 080-9732-1062
• Email: kga-it@outlook.com
• Pahina ng contact: kga-it.com/fil/contact