Критична уязвимост в Atlassian засяга 8 продукта

Atlassian публикува на 5 октомври 2026 г. съвет за сигурност за CVE-2026-21589 — критична уязвимост с оценка 9,3 по CVSS 4.0, която позволява на неоторизиран атакуващ да прочете файлове в директорията на уеб приложението. Засегнати са осем Data Center продукта, сред които Jira, Confluence и Bitbucket, и то във всички версии до момента на кръпката.

Какво точно позволява дупката

Става дума за arbitrary file access — четене на файлове през манипулиран път в заявката. Не е нужна автентикация: достатъчно е инстанцията да е достъпна по мрежа.

Има обаче важно ограничение, което Atlassian подчертава: атакуващият трябва да знае точното име и път на файла, който иска да издърпа. Уязвимостта не позволява изброяване на съдържанието на директории, тоест няма как да се „разходите” из файловата система и да видите какво има.

Това стеснява атаката, но не я прави безобидна. Имената на конфигурационни файлове в стандартна инсталация на Jira или Confluence не са тайна, а The Register цитира и предупреждението на Atlassian, че „при някои конфигурации може да има чувствителни файлове, които увеличават риска ви”.

CVSS векторът (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H) също е показателен: ниска сложност на атаката, никакви привилегии, без взаимодействие от потребителя — и висок ефект върху съседни системи.

Снимка: Atlassian

Засегнати продукти и версии с кръпка

Всичките осем продукта са в on-prem вариант. Ето версиите, в които дупката е затворена според The Hacker News и официалния съвет:

• Bitbucket Data Center — 9.4.26, 10.2.8, 10.5.1
• Confluence Data Center — 9.2.26, 10.2.19
• Jira Software Data Center — 9.12.40, 10.3.26, 11.3.12
• Jira Service Management Data Center — 5.12.40, 10.3.26, 11.3.12
• Bamboo Data Center — 10.2.24, 12.1.12
• Crowd Data Center — 6.3.7, 7.0.3, 7.1.7, 7.2.4
• Crucible — 4.9.15
• Fisheye — 4.9.15

Облачните продукти на Atlassian вече са закърпени и компанията казва, че разследването ѝ не е открило доказателства за експлоатация. Ако сте миграли в облака, не е нужно да правите нищо.

Какво да направите, ако не можете да обновите веднага

Atlassian е категорична: инстанциите, достъпни от публичния интернет, трябва да бъдат откъснати от външен достъп, докато не бъдат обновени или докато няма временно блокиращо правило.

Като междинна мярка съветът предлага:

• правило в WAF, което блокира URL адреси, съдържащи .. непосредствено до /, \ или ::;
• конфигурация на Tomcat RewriteValve за част от продуктите;
• промяна в urlrewrite.xml при Bitbucket.

Защо това е дежавю

Atlassian има история с path traversal. Предишният подобен случай — CVE-2021-26086 в Jira Server и Data Center — беше добавен в каталога на CISA за активно експлоатирани уязвимости едва на 12 ноември 2024 г., години след публикуването на кръпката. С други думи, атакуващите продължават да намират незакърпени инстанции дълго след като поправката е излязла.

Моделът е познат и от други корпоративни продукти, изложени на интернет. Само през последните седмици видяхме как Citrix закърпи вече атакуван zero-day в SAML модула на NetScaler — периметърният софтуер остава най-желаната цел, защото стои пред всичко останало.

Контекстът е и по-широк: обемът докладвани уязвимости расте, а индустрията още спори как да го обработва. Google например спря bug bounty програмата си за отворен код заради вълна от автоматизирани доклади.

Заключение

CVE-2026-21589 не дава изпълнение на код и не позволява разузнаване на файловата система — това е най-добрата новина тук. Но 9,3 по CVSS не е случайна оценка: неоторизиран достъп до файлове в приложенията, където стои целият ви код, тикети и вътрешна документация, е достатъчно сериозен риск.

Приоритетът е ясен. Проверете кои от осемте продукта държите локално, вдигнете версиите от списъка и чак след това се занимавайте с правила в WAF. Ако някоя от тези инстанции е достъпна от публичния интернет, свалете я от там още днес — Atlassian го препоръчва буквално.