Atlassian CVE-2026-21589 nel KEV della CISA: è sfruttata

Il 6 ottobre ARX News ha trattato la CVE-2026-21589 di Atlassian, la vulnerabilità di accesso arbitrario ai file nei prodotti Data Center, sulla base degli avvisi di CERT-FR, NCSC-NL, CERT-EU, BSI, NCSC-FI e Canadian Centre for Cyber Security. Allora le fonti non concordavano sullo sfruttamento. Il 15 ottobre 2026 la CISA ha inserito la vulnerabilità nel suo catalogo Known Exploited Vulnerabilities (KEV), che raccoglie le vulnerabilità di cui l’agenzia ha prove di sfruttamento attivo. Di seguito le novità rispetto al primo articolo.

Cosa cambia con l’inserimento nel KEV

Nel primo articolo il quadro era incerto: secondo il CERT-EU Atlassian non aveva trovato prove di sfruttamento, il Canadian Centre riferiva di fonti aperte che indicavano uno sfruttamento attivo e l’NCSC-FI segnalava tentativi osservati su sistemi esca dopo la pubblicazione di un proof of concept. Con l’inserimento nel KEV, la CISA considera la vulnerabilità sfruttata.

La scheda del KEV non descrive gli attacchi: non indica vittime, attori né indicatori di compromissione. Alla voce sull’uso in campagne ransomware riporta «Unknown», cioè non noto.

La scheda si intitola «Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability» e chiede di:

• applicare le mitigazioni secondo le istruzioni del produttore, seguendo la direttiva BOD 26-04 della CISA sulla priorità degli aggiornamenti in base al rischio e i suoi requisiti di triage forense («Forensics Triage Requirements»);
• per i servizi cloud, seguire la stessa direttiva oppure smettere di usare il prodotto se le mitigazioni non sono disponibili;
• valutare l’esposizione a Internet di ogni sistema.

Per le agenzie federali statunitensi la scadenza è il 18 ottobre 2026, tre giorni dopo l’inserimento. Il termine non vale per le aziende europee, ma indica la priorità che la CISA assegna alla vulnerabilità.

I dettagli aggiunti da NVD

La scheda di NVD, pubblicata il 5 ottobre e aggiornata il 15, è ancora in stato «Awaiting Analysis»: NVD non ha assegnato un proprio punteggio. Resta quello di Atlassian, CVSS 4.0 9.3, con vettore AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H. Significa attacco dalla rete, bassa complessità, nessun privilegio e nessuna interazione dell’utente; impatto alto sulla riservatezza del sistema vulnerabile e nessun impatto sulla sua integrità e disponibilità; impatto alto su riservatezza, integrità e disponibilità dei sistemi successivi (subsequent systems). La debolezza è classificata CWE-552 (file o cartelle accessibili a soggetti esterni).

La descrizione conferma il limite già noto: l’attaccante deve conoscere nome e percorso esatti del file e non può elencare il contenuto delle cartelle. Aggiunge però, per ogni prodotto, la versione in cui il difetto è stato introdotto, che il primo articolo non riportava:

• Bitbucket Data Center: dalla 4.6.0; versioni corrette 9.4.26, 10.2.8, 10.5.1;
• Confluence Data Center: dalla 5.10.0; versioni corrette 9.2.26, 10.2.19;
• Crowd Data Center: dalla 2.11.0; versioni corrette 6.3.7, 7.0.3, 7.1.7, 7.2.4;
• Jira Software Data Center: dalla 7.1.0; versioni corrette 9.12.40, 10.3.26, 11.3.12;
• Jira Service Management Data Center: dalla 3.1.0; versioni corrette 5.12.40, 10.3.26, 11.3.12;
• Bamboo Data Center: dalla 7.0.1; versioni corrette 10.2.24, 12.1.12;
• Crucible e Fisheye: versione corretta 4.9.15 (NVD non indica la versione di introduzione).

Le versioni corrette coincidono con quelle del CERT-EU riportate nel primo articolo. La descrizione di NVD elenca esplicitamente anche Jira Service Management, che mancava nell’avviso del CERT-FR.

Tra i riferimenti, NVD collega i ticket pubblici di Atlassian per ciascun prodotto: BSERV-20604 (Bitbucket), CONFSERVER-104488 (Confluence), CWD-6610 (Crowd), JRASERVER-79546 (Jira Software), JSDSERVER-16809 (Jira Service Management), BAM-26567 (Bamboo), CRUC-8741 (Crucible) e FE-7583 (Fisheye). Compare anche un repository pubblico su GitHub di watchTowr Labs dedicato a questa CVE; l’NCSC-FI aveva già segnalato la pubblicazione di un proof of concept funzionante.

Impatto per le aziende europee e italiane

Per la CISA la vulnerabilità è stata sfruttata: un’istanza Data Center non aggiornata e raggiungibile da Internet va quindi considerata a rischio concreto. Quanto possa essere grave una lettura dipende da quali file si trovano nella cartella principale dell’applicazione web; Atlassian avverte che in alcune configurazioni ci sono file sensibili.

I prodotti colpiti custodiscono ticket, documentazione, codice sorgente, pipeline di build e, con Crowd, la gestione centralizzata degli accessi. Per i soggetti che rientrano nella NIS2 vale quanto già scritto nel primo articolo: la gestione delle vulnerabilità sfruttate fa parte delle misure di sicurezza e la lettura di credenziali o segreti da un sistema esposto è un incidente da valutare per la notifica allo CSIRT Italia dell’ACN.

Cosa fare subito

1. Aggiorna alle versioni corrette o successive, partendo dalle istanze esposte su Internet.
2. Se non puoi aggiornare subito, togli l’istanza da Internet oppure applica le mitigazioni di Atlassian descritte nel primo articolo: regola sul WAF o sul proxy, RewriteValve di Tomcat, regola in urlrewrite.xml per Bitbucket.
3. Controlla le versioni di tutte le istanze, compresi nodi dei cluster, ambienti di test e mirror di Bitbucket, confrontandole con l’elenco precedente e con il ticket Atlassian del prodotto.
4. Fai il triage forense, come chiede anche la CISA: nei log di accesso cerca le sequenze .. subito accanto a /, \ o ::, anche codificate nell’URL, almeno dal 5 ottobre, data di pubblicazione della CVE.
5. Se trovi tracce: ricostruisci quali file possono essere stati letti, sostituisci credenziali, chiavi API e altri segreti che potrebbero essere esposti, controlla nuovi utenti e amministratori e valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet e quali prodotti con vulnerabilità note vi sono riconosciuti: aiuta a capire se un’istanza Jira, Confluence o Bitbucket è raggiungibile da fuori. ARX Shield elenca le vulnerabilità aperte sulle macchine monitorate, con quelle già sfruttate in evidenza. Con ARX Trace gli analisti possono avviare raccolte e ricerche su più macchine per verificare eventuali tracce.

Ultimo aggiornamento: 15 ottobre 2026