Atlassian CVE-2026-21589: lỗ hổng nghiêm trọng không cần đăng nhập trong Jira, Confluence và Bitbucket Data Center đã bị nhắm khai thác

Giới thiệu

Ngày 5/10/2026, Atlassian phát hành một khuyến cáo bảo mật ngoài lịch định kỳ cho CVE-2026-21589, lỗ hổng truy cập tệp tùy ý ảnh hưởng đến mọi phiên bản của tám sản phẩm tự lưu trữ (self-hosted): Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo và Crowd (đều là bản Data Center), cùng Crucible và Fisheye. Chính Atlassian đánh giá lỗ hổng ở mức nghiêm trọng (CVSS 4.0: 9,3). Kẻ tấn công không cần đăng nhập vẫn có thể đọc các tệp bên trong thư mục gốc của ứng dụng web.

Điều khiến vụ việc trở nên cấp bách là tốc độ. Một ngày sau khuyến cáo, watchTowr Labs công bố bài phân tích kỹ thuật. Chỉ vài giờ sau, công ty tình báo mối đe dọa Previdian báo cáo rằng các nỗ lực khai thác đã bắt đầu xuất hiện trong mạng honeypot của họ.

Nếu công ty bạn, hoặc một nhà cung cấp làm việc cho bạn, đang chạy Jira, Confluence hay Bitbucket trên máy chủ riêng hoặc tài khoản đám mây riêng (AWS, Azure…), bài viết này dành cho bạn. Chúng tôi tóm tắt những gì đã được xác nhận, các phiên bản khắc phục, cần làm gì nếu hôm nay chưa thể nâng cấp và cách tìm dấu hiệu tấn công trong nhật ký. Chúng tôi không đăng mã khai thác hay hướng dẫn tấn công từng bước. Mọi thông tin đều lấy từ các nguồn liệt kê ở cuối bài.

Những gì Atlassian đã xác nhận

Theo khuyến cáo chính thức:

• Lỗ hổng cho phép kẻ tấn công chưa xác thực truy cập các tệp cụ thể bên trong thư mục gốc của ứng dụng web.
• Để khai thác, kẻ tấn công cần biết chính xác tên và đường dẫn của tệp mục tiêu. Lỗ hổng không cho phép liệt kê nội dung thư mục.
• Công ty cho biết: "Trong một số cấu hình, có thể tồn tại các tệp nhạy cảm làm tăng rủi ro của bạn."
• Các sản phẩm Atlassian Cloud bị ảnh hưởng đã được vá, và cuộc điều tra của Atlassian không tìm thấy bằng chứng khai thác. Khách hàng Cloud không cần làm gì.
• Atlassian cho biết họ không thể xác nhận các phiên bản cài đặt của khách hàng có bị ảnh hưởng hay không, và khuyến nghị đội ngũ bảo mật kiểm tra mọi bản cài đặt.

Vì sao "chỉ đọc tệp" lại bị chấm 9,3 điểm

Thoạt nhìn, việc đọc tệp trong thư mục ứng dụng có vẻ ít nghiêm trọng hơn thực thi mã. Phân tích của watchTowr cho thấy vì sao không hẳn như vậy:

1. Cùng một nguyên nhân gốc. Cả tám sản phẩm dùng chung một thư viện là atlassian-plugins-webresource. Logic xử lý đường dẫn của thư viện này khiến các biện pháp chống path traversal có thể bị vượt qua. Đó là lý do cùng một lỗ hổng xuất hiện ở những sản phẩm rất khác nhau.
2. Phạm vi. Trong thử nghiệm của watchTowr với Jira, Confluence và Bitbucket, có thể đọc bất kỳ tệp nào bên trong máy chủ ứng dụng (không thoát ra ngoài ngữ cảnh Tomcat), kể cả các tệp thường được bảo vệ trong thư mục WEB-INF.
3. Mối liên hệ với Crowd. Khi Jira dùng Atlassian Crowd (dịch vụ quản lý danh tính và SSO tập trung của Atlassian), cấu hình được lưu trong WEB-INF/classes/crowd.properties. Theo watchTowr, tệp này lưu tên và mật khẩu ứng dụng ở dạng văn bản thuần. Có được thông tin xác thực đó, kẻ tấn công có thể giao tiếp trực tiếp với Crowd, liệt kê người dùng, tạo tài khoản và thêm chúng vào các nhóm quản trị. Trong phòng thí nghiệm của watchTowr, điều này dẫn đến quyền quản trị viên Jira.

watchTowr lưu ý rằng nếu Crowd chỉ chấp nhận kết nối từ danh sách địa chỉ IP được phép, kịch bản này sẽ khó hơn nhiều. Công ty đã xây dựng một bản chứng minh khái niệm (PoC) hoàn chỉnh nhưng không công bố, chỉ phát hành một công cụ kiểm tra xem phiên bản Jira, Confluence hoặc Bitbucket có bị lỗ hổng hay không.

Quy mô cũng đáng lo ngại. Theo watchTowr, chỉ một lần tìm kiếm trên internet đã cho thấy gần 700.000 phiên bản Confluence.

Dòng thời gian

• 5/10: Atlassian công bố khuyến cáo và các phiên bản đã khắc phục.
• 6/10: watchTowr công bố bài phân tích kỹ thuật. Vài giờ sau, Previdian báo cáo các nỗ lực khai thác trên honeypot của mình, theo Help Net Security.
• 7/10: VulnCheck đưa CVE-2026-21589 vào danh sách lỗ hổng bị khai thác (KEV) của riêng mình sau khi ghi nhận hoạt động nhắm vào Bamboo Data Center, theo Infosecurity Magazine.
• 12/10 (hôm nay): lỗ hổng vẫn chưa có trong danh mục KEV của CISA. Chúng tôi đã kiểm tra danh mục phiên bản 2026.10.08.

Một điểm quan trọng: các báo cáo công khai mô tả nỗ lực khai thác quan sát được trên honeypot. Chúng tôi không tìm thấy báo cáo công khai nào về nạn nhân đã được xác nhận. Nhưng đó không phải lý do để chờ đợi. Các phiên bản lộ ra internet nên được coi là mục tiêu.

Các phiên bản đã khắc phục

Atlassian khuyến nghị nâng cấp mỗi bản cài đặt lên một trong các phiên bản dưới đây, hoặc lên phiên bản mới nhất. Mọi phiên bản cũ hơn đều bị ảnh hưởng.

Atlassian khuyến nghị chuyển sang phiên bản LTS đã khắc phục hoặc mới hơn. Chính sách hiện tại của công ty là phát hành các bản bảo trì mới thay vì bản vá nhị phân.

Nếu hôm nay chưa thể nâng cấp

Atlassian liệt kê các biện pháp tạm thời. Biện pháp đầu tiên và đơn giản nhất là ngắt phiên bản khỏi internet cho đến khi áp dụng bản sửa hoặc biện pháp giảm thiểu. Điều này cũng áp dụng cho các phiên bản yêu cầu đăng nhập, vì lỗ hổng không cần xác thực.

Nếu phiên bản vẫn phải truy cập được, có ba lựa chọn chính thức:

1. Quy tắc trên WAF hoặc reverse proxy (mọi sản phẩm): chặn các URL khớp với biểu thức chính quy (regex) do Atlassian công bố, nhằm chặn .. nằm ngay cạnh /, \ hoặc ::, kể cả các dạng mã hóa URL. Sau khi áp dụng, hãy kiểm tra xem việc chặn có hoạt động không.
2. RewriteValve của Tomcat (Confluence, Jira, JSM, Bamboo và Crowd): thêm quy tắc vào rewrite.config, áp dụng lần lượt cho từng node trong cụm, và sao lưu trước.
3. Quy tắc trong urlrewrite.xml (chỉ Bitbucket): áp dụng trên mọi node, mirror và mirror farm.

Hãy dùng đúng nội dung trong khuyến cáo của Atlassian để cấu hình các quy tắc này và đừng sao chép phiên bản của bên thứ ba. Hãy nhớ rằng biện pháp giảm thiểu chỉ là cầu nối, không phải giải pháp. Mục tiêu vẫn là nâng cấp.

Cách kiểm tra các nỗ lực tấn công

Atlassian khuyên tìm bằng chứng trong nhật ký truy cập (access log):

• giải mã URL từng dòng yêu cầu (tối đa hai lượt giải mã) rồi tìm .. nằm ngay cạnh /, \ hoặc ::; hoặc
• tìm trực tiếp trên các dòng thô chưa giải mã bằng cùng biểu thức chính quy trong khuyến cáo.

Trên thực tế, đây là những gì chúng tôi khuyến nghị cho khách hàng:

1. Lập danh mục. Liệt kê mọi phiên bản Data Center, Crucible và Fisheye, kể cả môi trường thử nghiệm và các phiên bản nhà cung cấp vận hành thay bạn.
2. Rà soát nhật ký từ ngày 5/10, tốt nhất là từ trước đó. Nếu nhật ký xoay vòng nhanh, hãy sao chép ngay về một nơi lưu trữ tập trung.
3. Nếu dùng Crowd, hãy đổi mật khẩu ứng dụng được cấu hình trong crowd.properties và các tích hợp tương tự, nhất là khi phát hiện yêu cầu đáng ngờ. Rà soát người dùng và nhóm quản trị mới được tạo hoặc thay đổi gần đây.
4. Giới hạn Crowd chỉ nhận kết nối từ danh sách địa chỉ IP được phép, như chính watchTowr gợi ý.
5. Kiểm tra các bí mật khác có thể nằm trong tệp cấu hình bên trong thư mục ứng dụng.
6. Nếu phát hiện dấu hiệu bị xâm nhập, hãy lưu giữ nhật ký trước khi động vào máy chủ và liên hệ đội ngũ của bạn hoặc đối tác ứng phó sự cố.

Kết luận

CVE-2026-21589 hội tụ ba yếu tố thường dẫn đến kết cục xấu: không cần đăng nhập, ảnh hưởng mọi phiên bản của các sản phẩm được dùng rộng rãi và đã bị nhắm khai thác chỉ vài giờ sau khi bài phân tích kỹ thuật được công bố. Người dùng Atlassian Cloud không cần hành động. Ai đang chạy Jira, Confluence, Bitbucket, Bamboo hoặc Crowd trên máy chủ riêng nên nâng cấp ngay, hoặc ít nhất ngắt phiên bản khỏi internet và áp dụng biện pháp giảm thiểu chính thức, sau đó rà soát nhật ký và thông tin xác thực của Crowd.

Chúng tôi sẽ cập nhật bài viết nếu CISA đưa lỗ hổng vào KEV hoặc Atlassian công bố thông tin mới.

Nguồn

• Atlassian: CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products (khuyến cáo chính thức, 5/10/2026)
• watchTowr Labs: Atlassian Jira, Confluence (and more) Pre-Auth Arbitrary File Read CVE-2026-21589 (phân tích kỹ thuật, 6/10/2026)
• Help Net Security: Exploitation attempts against critical Atlassian flaw have begun (CVE-2026-21589)
• Infosecurity Magazine: Critical Flaw in Multiple Atlassian Products Exploited in the Wild
• CISA: Known Exploited Vulnerabilities Catalog (đã kiểm tra phiên bản 2026.10.08 ngày 12/10/2026)

---

Bạn muốn áp dụng điều này cho doanh nghiệp của mình?

KGA IT hỗ trợ doanh nghiệp vừa và nhỏ triển khai trợ lý AI, tự động hóa và website. Tư vấn miễn phí và chúng tôi phản hồi trong vòng 24 giờ. Gói dịch vụ từ ¥5.000/tháng.

• Điện thoại: 080-9732-1062
• Email: kga-it@outlook.com
• Trang liên hệ: kga-it.com/vi/contact