Atlassian CVE-2026-21589: Jira・Confluence・Bitbucket Data Centerにログイン不要の深刻な脆弱性、すでに悪用の試みも

はじめに

2026年10月5日、Atlassianは定例外のセキュリティアドバイザリで CVE-2026-21589 を公表しました。任意ファイルアクセスの脆弱性で、セルフホスト型の8製品の 全バージョン が影響を受けます。対象はJira Software、Jira Service Management、Confluence、Bitbucket、Bamboo、Crowd（いずれもData Center版）と、CrucibleおよびFisheyeです。Atlassian自身の評価は Critical（CVSS 4.0: 9.3） で、ログイン不要 の攻撃者がWebアプリケーションのルートディレクトリ内のファイルを読み取れます。

緊急度を高めたのは、そのスピードです。アドバイザリの翌日、watchTowr Labsが技術解説を公開しました。その数時間後には、脅威インテリジェンス企業のPrevidianが 自社のハニーポット網で悪用の試みを観測し始めた と報告しています。

自社、あるいは業務を委託している取引先が、Jira、Confluence、Bitbucketを自社サーバーや自社のクラウド環境（AWS、Azureなど）で運用しているなら、この記事は必読です。確認済みの事実、修正バージョン、すぐに更新できない場合の対処、ログで攻撃の痕跡を探す方法をまとめました。エクスプロイトコードや攻撃手順は掲載しません。情報はすべて末尾の参考資料に基づいています。

Atlassianが確認した内容

公式アドバイザリによると:

• 認証されていない攻撃者が Webアプリケーションのルートディレクトリ内の特定のファイル にアクセスできる。
• 悪用には対象ファイルの 正確な名前とパスを知っている 必要があり、ディレクトリの内容を 一覧表示することはできない。
• 同社は「構成によっては、リスクを高める機密ファイルが存在する可能性がある」としている。
• 影響を受ける Atlassian Cloud 製品は修正済みで、調査では悪用の証拠は見つかっていない。Cloudの利用者は対応不要。
• Atlassianは顧客のインスタンスが影響を受けたかどうかを 確認できない として、すべての環境をセキュリティ担当者が点検するよう勧めている。

「ファイルを読むだけ」がなぜ9.3なのか

アプリケーションフォルダのファイルを読めるだけなら、コード実行より軽く見えます。しかしwatchTowrの分析を読むと、そう単純ではないことがわかります。

1. 共通の原因。 8製品はすべて同じライブラリ atlassian-plugins-webresource を使っています。このライブラリのパス処理に、パストラバーサル対策を回避できる不備がありました。まったく異なる製品に同じ脆弱性がある理由はここにあります。
2. 影響範囲。 watchTowrがJira、Confluence、Bitbucketで検証したところ、Tomcatのコンテキストの外には出られないものの、アプリケーションサーバー内の任意のファイルを読み取れました。通常は保護されている WEB-INF フォルダ内のファイルも含まれます。
3. Crowdとのつながり。 JiraがAtlassian Crowd（Atlassianの統合ID管理・SSOサービス）を使う場合、設定は WEB-INF/classes/crowd.properties に置かれます。watchTowrによると、このファイルには アプリケーション名とパスワードが平文で 保存されています。この認証情報があれば、攻撃者はCrowdに直接接続し、ユーザーの一覧取得、アカウントの作成、管理者グループへの追加ができます。watchTowrの検証環境では、これにより Jiraの管理者権限 を取得できました。

watchTowrは、Crowdが許可したIPアドレスからの接続しか受け付けない設定なら、このシナリオはかなり難しくなると指摘しています。同社は完全なPoCを作成しましたが公開はせず、Jira、Confluence、Bitbucketのインスタンスが脆弱かどうかを確認するツールだけを公開しました。

規模も懸念材料です。watchTowrによると、インターネット検索ではConfluenceだけで70万件弱のインスタンスが見つかります。

タイムライン

• 10月5日: Atlassianがアドバイザリと修正バージョンを公開。
• 10月6日: watchTowrが技術解説を公開。Help Net Securityによると、その数時間後にPrevidianがハニーポットで悪用の試みを報告。
• 10月7日: Infosecurity Magazineによると、VulnCheckがBamboo Data Centerを狙う活動を観測し、CVE-2026-21589を独自の既知の悪用された脆弱性（KEV）リストに追加。
• 10月12日（本日）: CISAのKEVカタログには まだ掲載されていません。カタログのバージョン2026.10.08で確認しました。

重要な点として、公開されている報告はハニーポットで観測された 悪用の試み です。被害が確認されたという公開報告は見つかりませんでした。ただし、待つ理由にはなりません。インターネットに公開されているインスタンスは標的だと考えてください。

修正バージョン

Atlassianは、各環境を以下のいずれか、または最新のバージョンに更新するよう推奨しています。これより前のバージョンはすべて影響を受けます。

Atlassianの推奨は、修正済みのLTSバージョンかそれ以降への更新です。同社は現在、バイナリパッチではなく新しいメンテナンスリリースを提供する方針をとっています。

今日中に更新できない場合

Atlassianは一時的な緩和策を示しています。最も簡単なのは、修正か緩和策を適用するまで インスタンスをインターネットから切り離す ことです。この脆弱性は認証を必要としないため、ログインが必要なインスタンスも対象です。

公開を続ける必要がある場合、公式の選択肢は3つです。

1. WAFまたはリバースプロキシのルール（全製品）: Atlassianが公開した正規表現に一致するURLをブロックします。この正規表現は、URLエンコードされた形も含め、/、\、:: のすぐ隣にある .. を遮断するものです。適用後、ブロックが機能することをテストしてください。
2. TomcatのRewriteValve（Confluence、Jira、JSM、Bamboo、Crowd）: rewrite.config にルールを追加します。事前にバックアップを取り、クラスタのノードごとに適用します。
3. urlrewrite.xml へのルール追加（Bitbucketのみ）: すべてのノード、ミラー、ミラーファームに適用します。

ルールはAtlassianのアドバイザリの記述どおりに設定し、第三者がアレンジしたものをコピーしないでください。緩和策はあくまでつなぎで、解決策ではありません。目標は更新です。

攻撃の試みを確認する方法

Atlassianは アクセスログ で痕跡を探すよう案内しています。

• 各リクエスト行をURLデコード（最大2回）し、/、\、:: のすぐ隣にある .. を探す。または
• デコードしていない生のログ行を、アドバイザリと同じ正規表現で検索する。

実務では、お客様に次の対応をおすすめしています。

1. 棚卸しをする。 テスト環境や取引先が代わりに運用している環境も含め、Data Center、Crucible、Fisheyeのインスタンスをすべて洗い出します。
2. 10月5日以降、できればそれ以前からのログを確認する。 ログのローテーションが早い場合は、今すぐ集約先にコピーしてください。
3. Crowdを使っているなら、crowd.properties などに設定したアプリケーションのパスワードを変更する。 不審なリクエストが見つかった場合は特に急いでください。最近作成・変更されたユーザーや管理者グループも確認します。
4. Crowdへの接続を許可IPアドレスに限定する。 watchTowr自身もこの点を指摘しています。
5. アプリケーションフォルダ内の設定ファイルに、ほかの秘密情報がないか確認する。
6. 侵害の兆候が見つかったら、サーバーに手を加える前にログを保全し、社内の担当者またはインシデント対応の専門業者に連絡してください。

まとめ

CVE-2026-21589には、悪い結果につながりやすい3つの要素がそろっています。ログイン不要であること、広く使われている製品の全バージョンが対象であること、技術解説の公開から数時間で悪用が試みられたことです。Atlassian Cloudの利用者は対応不要です。Jira、Confluence、Bitbucket、Bamboo、Crowdを自社サーバーで運用している場合は今すぐ更新してください。難しければ、少なくともインスタンスをインターネットから切り離して公式の緩和策を適用し、ログとCrowdの認証情報を確認してください。

CISAがKEVに追加した場合や、Atlassianが新しい事実を公表した場合は、この記事を更新します。

参考資料

• Atlassian: CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products (公式アドバイザリ、2026年10月5日)
• watchTowr Labs: Atlassian Jira, Confluence (and more) Pre-Auth Arbitrary File Read CVE-2026-21589 (技術解説、2026年10月6日)
• Help Net Security: Exploitation attempts against critical Atlassian flaw have begun (CVE-2026-21589)
• Infosecurity Magazine: Critical Flaw in Multiple Atlassian Products Exploited in the Wild
• CISA: Known Exploited Vulnerabilities Catalog (2026年10月12日にバージョン2026.10.08を確認)

---

あなたのビジネスにも導入しませんか？

KGA ITは、中小企業向けにAIアシスタント、業務自動化、Webサイトの導入を支援しています。ご相談は無料で、24時間以内にご返信します。プランは月額5,000円から。

• 電話: 080-9732-1062
• メール: kga-it@outlook.com
• お問い合わせページ: kga-it.com/ja/contact