Atlassian CVE-2026-21589: Jira·Confluence·Bitbucket Data Center의 로그인 불필요 치명적 취약점, 이미 악용 시도 발생

들어가며

2026년 10월 5일, Atlassian은 정기 일정과 별도로 CVE-2026-21589 보안 권고를 발표했습니다. 임의 파일 접근 취약점으로, 자체 호스팅 제품 8종의 모든 버전이 영향을 받습니다. 대상은 Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd(모두 Data Center 에디션)와 Crucible, Fisheye입니다. Atlassian은 이 취약점을 치명적(CVSS 4.0: 9.3) 으로 평가했습니다. 로그인하지 않은 공격자가 웹 애플리케이션 루트 디렉터리 안의 파일을 읽을 수 있습니다.

이 사안을 긴급하게 만든 것은 속도였습니다. 권고 발표 다음 날 watchTowr Labs가 기술 분석을 공개했고, 몇 시간 뒤 위협 인텔리전스 기업 Previdian은 자사 허니팟 네트워크에서 이미 악용 시도가 관측되고 있다고 알렸습니다.

귀사나 귀사의 업무를 맡은 협력업체가 Jira, Confluence, Bitbucket을 자체 서버나 자체 클라우드 계정(AWS, Azure 등)에서 운영하고 있다면 이 글을 꼭 읽어 주세요. 확인된 사실, 문제를 고치는 버전, 오늘 바로 업데이트할 수 없을 때의 조치, 로그에서 공격 흔적을 찾는 방법을 정리했습니다. 익스플로잇 코드나 공격 절차는 싣지 않습니다. 모든 정보는 글 끝에 정리한 출처에 근거합니다.

Atlassian이 확인한 내용

공식 권고에 따르면:

• 인증되지 않은 공격자가 웹 애플리케이션 루트 디렉터리 안의 특정 파일에 접근할 수 있습니다.
• 악용하려면 대상 파일의 정확한 이름과 경로를 알아야 하며, 디렉터리 내용을 나열할 수는 없습니다.
• 회사는 "일부 구성에서는 위험을 높이는 민감한 파일이 존재할 수 있다"고 밝혔습니다.
• 영향을 받는 Atlassian Cloud 제품은 이미 패치되었고, Atlassian의 조사에서는 악용 증거가 발견되지 않았습니다. Cloud 고객은 조치할 필요가 없습니다.
• Atlassian은 고객의 인스턴스가 영향을 받았는지 확인할 수 없다며, 보안 담당자가 모든 설치 환경을 점검하라고 권고합니다.

"파일을 읽기만" 하는데 왜 9.3점일까

애플리케이션 폴더의 파일을 읽는 것은 코드 실행보다 덜 심각해 보입니다. 하지만 watchTowr의 분석을 보면 꼭 그렇지 않습니다.

1. 공통 원인. 8개 제품은 모두 같은 라이브러리인 atlassian-plugins-webresource를 사용합니다. 이 라이브러리의 경로 처리 로직 때문에 경로 탐색(path traversal) 방어를 우회할 수 있었습니다. 서로 다른 제품에 같은 취약점이 나타난 이유가 여기에 있습니다.
2. 영향 범위. watchTowr가 Jira, Confluence, Bitbucket을 테스트한 결과, Tomcat 컨텍스트 밖으로 나가지는 못했지만 애플리케이션 서버 안의 파일은 무엇이든 읽을 수 있었습니다. 평소 보호되는 WEB-INF 폴더의 파일도 포함됩니다.
3. Crowd와의 연결고리. Jira가 Atlassian Crowd(Atlassian의 통합 ID 및 SSO 서비스)를 사용하면 설정은 WEB-INF/classes/crowd.properties에 저장됩니다. watchTowr에 따르면 이 파일에는 애플리케이션 이름과 비밀번호가 평문으로 들어 있습니다. 이 자격 증명이 있으면 공격자는 Crowd에 직접 접속해 사용자 목록을 조회하고, 계정을 만들고, 관리자 그룹에 추가할 수 있습니다. watchTowr의 실험실에서는 이를 통해 Jira 관리자 권한까지 얻었습니다.

watchTowr는 Crowd가 허용된 IP 주소 목록에서 오는 연결만 받는다면 이 시나리오가 훨씬 어려워진다고 설명합니다. 이 회사는 완전한 개념 증명(PoC)을 만들었지만 공개하지 않았고, Jira, Confluence, Bitbucket 인스턴스의 취약 여부를 확인하는 도구만 공개했습니다.

규모도 우려스럽습니다. watchTowr에 따르면 인터넷 검색만으로 Confluence 인스턴스가 70만 개 가까이 확인됩니다.

타임라인

• 10월 5일: Atlassian이 권고와 수정 버전을 발표.
• 10월 6일: watchTowr가 기술 분석을 공개. Help Net Security에 따르면 몇 시간 뒤 Previdian이 허니팟에서 악용 시도를 보고.
• 10월 7일: Infosecurity Magazine에 따르면 VulnCheck가 Bamboo Data Center를 노린 활동을 관측한 뒤 CVE-2026-21589를 자체 악용 취약점(KEV) 목록에 추가.
• 10월 12일(오늘): 이 취약점은 CISA KEV 카탈로그에 아직 등재되지 않았습니다. 카탈로그 버전 2026.10.08로 확인했습니다.

중요한 점이 있습니다. 공개된 보고는 허니팟에서 관측된 악용 시도에 관한 것입니다. 피해가 확인됐다는 공개 보고는 찾지 못했습니다. 그렇다고 기다릴 이유는 없습니다. 인터넷에 노출된 인스턴스는 공격 대상으로 봐야 합니다.

수정 버전

Atlassian은 각 설치 환경을 아래 버전 중 하나나 최신 버전으로 업데이트하라고 권고합니다. 그 이전 버전은 모두 영향을 받습니다.

Atlassian은 수정된 LTS 버전이나 그 이후 버전으로 올리라고 권고합니다. 현재 Atlassian은 바이너리 패치 대신 새 유지보수 릴리스를 내놓는 정책을 따르고 있습니다.

오늘 업데이트할 수 없다면

Atlassian은 임시 조치를 제시합니다. 가장 간단한 첫 번째 조치는 수정이나 완화 조치를 적용할 때까지 인스턴스를 인터넷에서 분리하는 것입니다. 이 취약점은 인증이 필요 없기 때문에 로그인이 필요한 인스턴스도 마찬가지입니다.

인스턴스를 계속 공개해야 한다면 공식 선택지는 세 가지입니다.

1. WAF 또는 리버스 프록시 규칙(모든 제품): Atlassian이 공개한 정규식과 일치하는 URL을 차단합니다. 이 정규식은 URL 인코딩된 형태까지 포함해 /, \, :: 바로 옆에 있는 ..를 막습니다. 적용한 뒤 차단이 제대로 되는지 테스트하세요.
2. Tomcat RewriteValve(Confluence, Jira, JSM, Bamboo, Crowd): rewrite.config에 규칙을 추가합니다. 먼저 백업하고, 클러스터의 노드마다 적용합니다.
3. urlrewrite.xml 규칙(Bitbucket 전용): 모든 노드, 미러, 미러 팜에 적용합니다.

규칙은 Atlassian 권고에 나온 그대로 설정하고, 제3자가 변형한 버전을 복사하지 마세요. 완화 조치는 임시 다리일 뿐 해결책이 아닙니다. 목표는 여전히 업데이트입니다.

공격 시도를 확인하는 방법

Atlassian은 액세스 로그에서 흔적을 찾으라고 안내합니다.

• 각 요청 줄을 URL 디코딩(최대 두 번)한 뒤 /, \, :: 바로 옆에 있는 ..를 찾거나,
• 디코딩하지 않은 원본 로그 줄을 권고에 나온 같은 정규식으로 검색합니다.

실무에서 저희가 고객에게 권하는 조치는 다음과 같습니다.

1. 자산 목록을 만드세요. 테스트 환경과 협력업체가 대신 운영하는 환경을 포함해 Data Center, Crucible, Fisheye 인스턴스를 모두 파악합니다.
2. 10월 5일 이후, 가능하면 그 이전부터의 로그를 확인하세요. 로그가 빨리 순환된다면 지금 바로 중앙 저장소로 복사하세요.
3. Crowd를 쓴다면 crowd.properties 등에 설정된 애플리케이션 비밀번호를 교체하세요. 의심스러운 요청을 발견했다면 더욱 서둘러야 합니다. 최근 생성되거나 변경된 사용자와 관리자 그룹도 점검하세요.
4. Crowd 접속을 허용된 IP 주소 목록으로 제한하세요. watchTowr도 이 점을 짚었습니다.
5. 애플리케이션 폴더 안의 설정 파일에 다른 비밀 정보가 없는지 확인하세요.
6. 침해 징후를 발견하면 서버를 건드리기 전에 로그를 보존하고, 내부 담당 팀이나 침해 사고 대응 파트너에게 연락하세요.

맺으며

CVE-2026-21589에는 나쁜 결과로 이어지기 쉬운 세 가지 요소가 겹쳐 있습니다. 로그인이 필요 없고, 널리 쓰이는 제품의 모든 버전에 영향을 주며, 기술 분석이 공개된 지 몇 시간 만에 악용 시도가 시작됐습니다. Atlassian Cloud 사용자는 조치할 필요가 없습니다. Jira, Confluence, Bitbucket, Bamboo, Crowd를 자체 서버에서 운영한다면 지금 업데이트하세요. 그것이 어렵다면 최소한 인스턴스를 인터넷에서 분리하고 공식 완화 조치를 적용한 뒤, 로그와 Crowd 자격 증명을 점검하세요.

CISA가 이 취약점을 KEV에 추가하거나 Atlassian이 새로운 사실을 발표하면 이 글을 업데이트하겠습니다.

출처

• Atlassian: CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products (공식 권고, 2026년 10월 5일)
• watchTowr Labs: Atlassian Jira, Confluence (and more) Pre-Auth Arbitrary File Read CVE-2026-21589 (기술 분석, 2026년 10월 6일)
• Help Net Security: Exploitation attempts against critical Atlassian flaw have begun (CVE-2026-21589)
• Infosecurity Magazine: Critical Flaw in Multiple Atlassian Products Exploited in the Wild
• CISA: Known Exploited Vulnerabilities Catalog (2026년 10월 12일 버전 2026.10.08 확인)

---

귀사의 비즈니스에도 도입해 보시겠어요?

KGA IT는 중소기업의 AI 어시스턴트, 업무 자동화, 웹사이트 구축을 지원합니다. 상담은 무료이며 24시간 이내에 답변드립니다. 요금제는 월 ¥5,000부터입니다.

• 전화: 080-9732-1062
• 이메일: kga-it@outlook.com
• 문의 페이지: kga-it.com/ko/contact