Atlassian CVE-2026-21589: kelemahan kritikal tanpa log masuk dalam Jira, Confluence dan Bitbucket Data Center sudah menarik cubaan eksploitasi

Pengenalan

Pada 5 Oktober 2026, Atlassian menerbitkan nasihat keselamatan di luar jadual biasa untuk CVE-2026-21589, iaitu kelemahan akses fail sewenang-wenangnya yang menjejaskan semua versi lapan produk self-hosted: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo dan Crowd (semuanya edisi Data Center), serta Crucible dan Fisheye. Atlassian sendiri menilai kelemahan ini sebagai kritikal (CVSS 4.0: 9.3). Penyerang tanpa log masuk boleh membaca fail di dalam direktori akar aplikasi web.

Yang menjadikan kes ini mendesak ialah kepantasannya. Sehari selepas nasihat itu, watchTowr Labs menerbitkan analisis teknikalnya. Beberapa jam kemudian, firma risikan ancaman Previdian melaporkan bahawa cubaan eksploitasi sudah mula dikesan dalam rangkaian honeypotnya.

Jika syarikat anda, atau vendor yang bekerja untuk anda, menjalankan Jira, Confluence atau Bitbucket pada pelayan sendiri atau dalam akaun awan sendiri (AWS, Azure dan sebagainya), artikel ini untuk anda. Kami merumuskan apa yang telah disahkan, versi yang membaiki masalah, apa yang perlu dilakukan jika anda tidak dapat menaik taraf hari ini dan cara mencari tanda serangan dalam log. Kami tidak menerbitkan kod eksploit atau langkah demi langkah serangan. Semua maklumat diambil daripada sumber yang disenaraikan di hujung artikel.

Apa yang disahkan oleh Atlassian

Menurut nasihat rasmi:

• Kelemahan ini membolehkan penyerang yang tidak disahkan mengakses fail tertentu di dalam direktori akar aplikasi web.
• Eksploitasi memerlukan penyerang mengetahui nama dan laluan tepat fail sasaran. Kelemahan ini tidak membenarkan penyenaraian kandungan direktori.
• "Dalam sesetengah konfigurasi, mungkin terdapat fail sensitif yang meningkatkan risiko anda," kata syarikat itu.
• Produk Atlassian Cloud yang terjejas sudah ditampal, dan siasatan Atlassian tidak menemui bukti eksploitasi. Pelanggan Cloud tidak perlu berbuat apa-apa.
• Atlassian menyatakan ia tidak dapat mengesahkan sama ada instans pelanggan telah terjejas dan mengesyorkan pasukan keselamatan memeriksa setiap pemasangan.

Mengapa "sekadar membaca fail" mendapat skor 9.3

Pada pandangan pertama, membaca fail daripada folder aplikasi kedengaran kurang serius berbanding menjalankan kod. Analisis watchTowr menunjukkan mengapa itu tidak sepenuhnya benar:

1. Punca yang sama. Kelapan-lapan produk berkongsi pustaka yang sama, atlassian-plugins-webresource. Logik pengendalian laluan dalam pustaka ini membolehkan perlindungan terhadap path traversal dipintas. Itulah sebabnya kelemahan yang sama muncul dalam produk yang begitu berbeza.
2. Jangkauan. Dalam ujian watchTowr terhadap Jira, Confluence dan Bitbucket, fail apa sahaja di dalam pelayan aplikasi boleh dibaca (tanpa keluar daripada konteks Tomcat), termasuk fail dalam folder WEB-INF yang biasanya dilindungi.
3. Kaitan dengan Crowd. Apabila Jira menggunakan Atlassian Crowd (perkhidmatan identiti dan SSO pusat Atlassian), konfigurasinya disimpan dalam WEB-INF/classes/crowd.properties. Menurut watchTowr, fail ini menyimpan nama dan kata laluan aplikasi dalam teks biasa. Dengan kelayakan tersebut, penyerang boleh berhubung terus dengan Crowd, menyenaraikan pengguna, mencipta akaun dan menambahkannya ke dalam kumpulan pentadbir. Dalam makmal watchTowr, ini membawa kepada akses pentadbir Jira.

watchTowr menyatakan bahawa jika Crowd hanya menerima sambungan daripada senarai alamat IP yang dibenarkan, senario ini menjadi jauh lebih sukar. Firma itu membina bukti konsep (PoC) yang lengkap tetapi tidak menerbitkannya. Ia hanya mengeluarkan alat untuk menyemak sama ada instans Jira, Confluence atau Bitbucket terdedah.

Skalanya juga membimbangkan. Menurut watchTowr, carian di internet menunjukkan hampir 700,000 instans Confluence sahaja.

Garis masa

• 5 Oktober: Atlassian menerbitkan nasihat dan versi yang dibaiki.
• 6 Oktober: watchTowr menerbitkan analisis teknikalnya. Beberapa jam kemudian, Previdian melaporkan cubaan eksploitasi pada honeypotnya, menurut Help Net Security.
• 7 Oktober: VulnCheck menambah CVE-2026-21589 ke dalam senarai kelemahan yang dieksploitasi (KEV) miliknya selepas mengesan aktiviti terhadap Bamboo Data Center, menurut Infosecurity Magazine.
• 12 Oktober (hari ini): kelemahan ini masih belum tersenarai dalam katalog KEV CISA. Kami menyemak katalog versi 2026.10.08.

Satu perkara penting: laporan awam menggambarkan cubaan eksploitasi yang dikesan pada honeypot. Kami tidak menemui laporan awam tentang mangsa yang disahkan. Itu bukan alasan untuk menunggu. Instans yang terdedah kepada internet patut dianggap sebagai sasaran.

Versi yang dibaiki

Atlassian mengesyorkan setiap pemasangan dinaik taraf ke salah satu versi di bawah, atau ke versi terkini. Semua versi terdahulu terjejas.

Atlassian mengesyorkan peralihan ke versi LTS yang dibaiki atau yang lebih baharu. Dasar semasa syarikat itu ialah mengeluarkan versi penyelenggaraan baharu dan bukannya tampalan binari.

Jika anda tidak dapat menaik taraf hari ini

Atlassian menyenaraikan langkah sementara. Langkah pertama dan paling mudah ialah memutuskan instans daripada internet sehingga anda menggunakan pembaikan atau mitigasi. Ini juga terpakai kepada instans yang memerlukan log masuk, kerana kelemahan ini tidak memerlukan pengesahan.

Jika instans perlu terus boleh dicapai, terdapat tiga pilihan rasmi:

1. Peraturan WAF atau proksi songsang (semua produk): sekat URL yang sepadan dengan ungkapan nalar (regex) yang diterbitkan oleh Atlassian, yang menghalang .. yang terletak betul-betul di sebelah /, \ atau ::, termasuk bentuk yang dikodkan URL. Selepas menggunakannya, uji bahawa sekatan berfungsi.
2. RewriteValve Tomcat (Confluence, Jira, JSM, Bamboo dan Crowd): peraturan dalam rewrite.config, digunakan satu demi satu pada setiap nod kluster, dengan sandaran terlebih dahulu.
3. Peraturan dalam urlrewrite.xml (Bitbucket sahaja): digunakan pada semua nod, cermin (mirror) dan mirror farm.

Gunakan teks tepat daripada nasihat Atlassian untuk mengkonfigurasi peraturan ini dan jangan menyalin versi pihak ketiga. Ingat, mitigasi hanyalah jambatan, bukan penyelesaian. Matlamatnya tetap menaik taraf.

Cara menyemak cubaan serangan

Atlassian menasihatkan agar bukti dicari dalam log akses:

• nyahkod URL setiap baris permintaan (sehingga dua pusingan penyahkodan) dan cari .. yang terletak betul-betul di sebelah /, \ atau ::; atau
• cari dalam baris mentah yang tidak dinyahkod menggunakan ungkapan nalar yang sama daripada nasihat itu.

Secara praktikal, inilah yang kami syorkan kepada pelanggan kami:

1. Buat inventori. Senaraikan setiap instans Data Center, Crucible dan Fisheye, termasuk instans ujian dan yang dijalankan oleh vendor untuk anda.
2. Semak log sejak 5 Oktober, dan sebaik-baiknya lebih awal. Jika log anda berputar dengan cepat, salin ke lokasi pusat sekarang.
3. Jika anda menggunakan Crowd, tukar kata laluan aplikasi yang dikonfigurasi dalam crowd.properties dan integrasi yang serupa, terutamanya jika anda menemui permintaan yang mencurigakan. Semak pengguna dan kumpulan pentadbir yang baru dicipta atau diubah.
4. Hadkan Crowd kepada senarai alamat IP yang dibenarkan, seperti yang dicadangkan sendiri oleh watchTowr.
5. Semak rahsia lain yang mungkin terdapat dalam fail konfigurasi di dalam folder aplikasi.
6. Jika anda menemui tanda-tanda pencerobohan, simpan log sebelum menyentuh pelayan dan hubungi pasukan anda atau rakan kongsi tindak balas insiden.

Kesimpulan

CVE-2026-21589 menggabungkan tiga faktor yang biasanya berakhir dengan buruk: ia tidak memerlukan log masuk, ia menjejaskan semua versi produk yang digunakan secara meluas dan ia menarik cubaan eksploitasi dalam masa beberapa jam selepas analisis teknikal didedahkan. Pengguna Atlassian Cloud tidak perlu bertindak. Sesiapa yang menjalankan Jira, Confluence, Bitbucket, Bamboo atau Crowd pada pelayan sendiri patut menaik taraf sekarang, atau sekurang-kurangnya memutuskan instans daripada internet dan menggunakan mitigasi rasmi, kemudian menyemak log dan kelayakan Crowd.

Kami akan mengemas kini artikel ini jika CISA menambah kelemahan ini ke dalam KEV atau jika Atlassian mendedahkan fakta baharu.

Sumber

• Atlassian: CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products (nasihat rasmi, 5 Okt 2026)
• watchTowr Labs: Atlassian Jira, Confluence (and more) Pre-Auth Arbitrary File Read CVE-2026-21589 (analisis teknikal, 6 Okt 2026)
• Help Net Security: Exploitation attempts against critical Atlassian flaw have begun (CVE-2026-21589)
• Infosecurity Magazine: Critical Flaw in Multiple Atlassian Products Exploited in the Wild
• CISA: Known Exploited Vulnerabilities Catalog (versi 2026.10.08 disemak pada 12 Okt 2026)

---

Mahu manfaatkan ini untuk perniagaan anda?

KGA IT membantu perniagaan kecil dan sederhana menyediakan pembantu AI, automasi dan laman web. Konsultasi adalah percuma dan kami membalas dalam masa 24 jam. Pelan bermula dari ¥5,000/bulan.

• Telefon: 080-9732-1062
• E-mel: kga-it@outlook.com
• Halaman hubungi: kga-it.com/ms/contact