Atlassian CVE-2026-21589：Jira、Confluence 和 Bitbucket Data Center 无需登录的严重漏洞已出现利用尝试

引言

2026 年 10 月 5 日，Atlassian 在常规发布周期之外发布了 CVE-2026-21589 安全公告。这是一个任意文件访问漏洞，影响 8 款自托管产品的所有版本：Jira Software、Jira Service Management、Confluence、Bitbucket、Bamboo 和 Crowd（均为 Data Center 版），以及 Crucible 和 Fisheye。Atlassian 自己将其评为严重（CVSS 4.0：9.3）。无需登录的攻击者即可读取 Web 应用根目录中的文件。

让事态变得紧急的是速度。公告发布次日，watchTowr Labs 公开了技术分析。几个小时后，威胁情报公司 Previdian 报告称，其蜜罐网络中已经出现了利用尝试。

如果您的公司，或为您提供服务的供应商，在自有服务器或自有云账户（AWS、Azure 等）上运行 Jira、Confluence 或 Bitbucket，这篇文章就是为您写的。我们总结了已确认的事实、修复问题的版本、今天无法升级时该怎么办，以及如何在日志中查找攻击迹象。我们不发布漏洞利用代码，也不提供攻击步骤。所有信息均来自文末列出的来源。

Atlassian 确认的内容

根据官方公告：

• 该漏洞允许未经身份验证的攻击者访问 Web 应用根目录中的特定文件。
• 利用该漏洞需要知道目标文件的确切名称和路径，且无法列出目录内容。
• 公司表示："在某些配置中，可能存在会增加风险的敏感文件。"
• 受影响的 Atlassian Cloud 产品已经修复，Atlassian 的调查未发现被利用的证据。Cloud 客户无需采取任何行动。
• Atlassian 表示无法确认客户的实例是否受到影响，建议安全团队检查所有部署。

为什么"只是读文件"会被评为 9.3 分

乍一看，读取应用目录中的文件似乎没有执行代码那么严重。watchTowr 的分析说明了事情并非如此简单：

1. 共同的根源。 这 8 款产品都使用同一个库 atlassian-plugins-webresource。该库的路径处理逻辑使得路径遍历防护可以被绕过。这就是为什么同一个漏洞会出现在差异很大的多款产品中。
2. 影响范围。 在 watchTowr 针对 Jira、Confluence 和 Bitbucket 的测试中，可以读取应用服务器内的任何文件（无法跳出 Tomcat 上下文），包括 WEB-INF 目录中通常受保护的文件。
3. 与 Crowd 的关联。 当 Jira 使用 Atlassian Crowd（Atlassian 的集中身份与单点登录服务）时，配置保存在 WEB-INF/classes/crowd.properties 中。据 watchTowr 介绍，该文件以明文保存应用名称和密码。拿到这些凭据后，攻击者可以直接与 Crowd 通信，列出用户、创建账户并将其加入管理员组。在 watchTowr 的实验环境中，这最终获得了 Jira 管理员权限。

watchTowr 指出，如果 Crowd 只接受来自 IP 白名单的连接，这一场景会困难得多。该公司编写了完整的概念验证（PoC）但没有公开，只发布了一个用于检查 Jira、Confluence 或 Bitbucket 实例是否存在漏洞的工具。

规模同样令人担忧。据 watchTowr 称，仅通过互联网搜索就能找到将近 70 万个 Confluence 实例。

时间线

• 10 月 5 日： Atlassian 发布公告和修复版本。
• 10 月 6 日： watchTowr 公开技术分析。据 Help Net Security 报道，几个小时后 Previdian 报告其蜜罐中出现利用尝试。
• 10 月 7 日： 据 Infosecurity Magazine 报道，VulnCheck 在观察到针对 Bamboo Data Center 的活动后，将 CVE-2026-21589 加入其自有的已知被利用漏洞（KEV）列表。
• 10 月 12 日（今天）： 该漏洞仍未列入 CISA 的 KEV 目录。我们核对的是 2026.10.08 版目录。

需要强调的是：公开报告描述的是蜜罐中观察到的利用尝试。我们没有找到关于已确认受害者的公开报告。但这不是等待的理由。暴露在互联网上的实例都应被视为攻击目标。

修复版本

Atlassian 建议将每个部署升级到以下版本之一，或升级到最新版本。所有更早的版本均受影响。

Atlassian 建议升级到已修复的 LTS 版本或更高版本。该公司目前的政策是发布新的维护版本，而不是二进制补丁。

如果今天无法升级

Atlassian 列出了临时措施。第一项、也是最简单的一项，是在应用修复或缓解措施之前让实例脱离互联网。这同样适用于需要登录的实例，因为该漏洞不需要身份验证。

如果实例必须保持可访问，官方提供三种选择：

1. WAF 或反向代理规则（所有产品）：拦截与 Atlassian 发布的正则表达式匹配的 URL。该表达式会拦截紧挨着 /、\ 或 :: 的 ..，包括 URL 编码后的形式。应用后请测试拦截是否生效。
2. Tomcat 的 RewriteValve（Confluence、Jira、JSM、Bamboo 和 Crowd）：在 rewrite.config 中添加规则，先做好备份，再在集群中逐个节点应用。
3. urlrewrite.xml 规则（仅 Bitbucket）：在所有节点、镜像和镜像集群上应用。

请严格按照 Atlassian 公告中的原文配置这些规则，不要复制第三方改写的版本。请记住，缓解措施只是过渡，不是解决方案。目标仍然是升级。

如何检查是否有攻击尝试

Atlassian 建议在访问日志中查找证据：

• 对每一行请求进行 URL 解码（最多两轮解码），然后查找紧挨着 /、\ 或 :: 的 ..；或者
• 直接用公告中的同一正则表达式搜索未解码的原始日志行。

在实际工作中，我们向客户建议：

1. 清点资产。 列出所有 Data Center、Crucible 和 Fisheye 实例，包括测试环境以及供应商代为运行的实例。
2. 检查 10 月 5 日以来的日志，最好再往前追溯。如果日志轮转很快，请立即复制到集中存储。
3. 如果使用 Crowd，请更换在 crowd.properties 及类似集成中配置的应用密码，发现可疑请求时尤其要尽快处理。同时检查最近新建或修改过的用户和管理员组。
4. 将 Crowd 限制为只接受 IP 白名单中的连接，watchTowr 本身也提出了这一点。
5. 检查应用目录下的配置文件中是否还有其他机密信息。
6. 如果发现入侵迹象，请在改动服务器之前先保全日志，并联系您的团队或事件响应合作伙伴。

结论

CVE-2026-21589 集齐了三个往往会导致严重后果的因素：无需登录、影响广泛使用的产品的所有版本，并且在技术分析公开后几小时内就出现了利用尝试。Atlassian Cloud 用户无需采取行动。在自有服务器上运行 Jira、Confluence、Bitbucket、Bamboo 或 Crowd 的用户应立即升级；如果做不到，至少要让实例脱离互联网并应用官方缓解措施，然后检查日志和 Crowd 凭据。

如果 CISA 将该漏洞加入 KEV，或 Atlassian 公布新的事实，我们会更新本文。

来源

• Atlassian: CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products (官方公告，2026年10月5日)
• watchTowr Labs: Atlassian Jira, Confluence (and more) Pre-Auth Arbitrary File Read CVE-2026-21589 (技术分析，2026年10月6日)
• Help Net Security: Exploitation attempts against critical Atlassian flaw have begun (CVE-2026-21589)
• Infosecurity Magazine: Critical Flaw in Multiple Atlassian Products Exploited in the Wild
• CISA: Known Exploited Vulnerabilities Catalog (2026年10月12日核对 2026.10.08 版)

---

想把这些带到您的业务中吗？

KGA IT 帮助中小企业部署 AI 助手、业务自动化和网站。咨询免费，我们会在 24 小时内回复。方案每月 ¥5,000 起。

• 电话: 080-9732-1062
• 邮箱: kga-it@outlook.com
• 联系页面: kga-it.com/zh/contact