Atlassian Data Center: CVE-2026-21589, file letti senza login

📌 Sviluppi successivi: Atlassian CVE-2026-21589 nel KEV della CISA: è sfruttata (15 ottobre 2026)

Il 5 ottobre 2026 Atlassian ha pubblicato un bollettino su una vulnerabilità critica che riguarda diversi suoi prodotti installati presso il cliente (edizioni Data Center): CVE-2026-21589, con un punteggio CVSS 4.0 di 9.3. Permette a un attaccante non autenticato di leggere file specifici che si trovano nella cartella principale dell’applicazione web. Atlassian Cloud è già stato corretto e i clienti del servizio in cloud non devono fare nulla.

Tra il 6 e l’8 ottobre hanno pubblicato avvisi il CERT-FR, l’NCSC-NL, il CERT-EU, il BSI/CERT-Bund, l’NCSC-FI e il Canadian Centre for Cyber Security.

Cosa è successo

Secondo il CERT-EU, che riprende il bollettino del produttore, si tratta di una vulnerabilità di accesso arbitrario ai file. L’NCSC-FI precisa che si sfrutta dalla rete, senza credenziali e senza alcuna azione degli utenti. Ha però un limite: l’attaccante deve conoscere in anticipo nome e percorso esatti del file da leggere, perché la vulnerabilità non permette di elencare il contenuto delle cartelle. Atlassian avverte che alcune configurazioni possono contenere file sensibili, e questo aumenta il rischio.

Gli enti la classificano in modo simile: il CERT-FR parla di violazione della riservatezza dei dati, il BSI di divulgazione di informazioni con gravità alta, l’NCSC-NL ha classificato il suo avviso (NCSC-2026-0402) come M/H, cioè probabilità media e danno alto. Il CERT-EU e l’NCSC-FI la definiscono critica.

Sfruttamento: le fonti non coincidono

Gli avvisi, usciti in giorni diversi, danno un quadro che si è evoluto:

• secondo il CERT-EU (7 ottobre), Atlassian dichiara che la sua indagine non ha trovato prove di sfruttamento;
• il Canadian Centre for Cyber Security, nell’aggiornamento del 7 ottobre, riferisce che fonti aperte indicano uno sfruttamento attivo di CVE-2026-21589;
• l’NCSC-FI (8 ottobre) segnala che sono stati pubblicati un proof of concept funzionante e un modello per gli scanner automatici di vulnerabilità, e che subito dopo sono stati osservati in Internet tentativi di sfruttamento. Precisa però che le osservazioni pubbliche riguardano per ora sistemi esca (honeypot), non violazioni confermate di organizzazioni.

Dettagli tecnici

• CVE: CVE-2026-21589, CVSS 4.0 9.3 (critica).
• Tipo di difetto: accesso arbitrario a file nella cartella principale dell’applicazione web, senza possibilità di elencare le cartelle.
• Vettore: rete, senza autenticazione e senza interazione dell’utente.
• Cosa cercare nelle richieste: le mitigazioni e le verifiche indicate da Atlassian riguardano le sequenze .. subito accanto a /, \ o ::, anche in forma codificata nell’URL.
• MITRE ATT&CK: lo sfruttamento di un servizio esposto corrisponde a T1190 (Exploit Public-Facing Application).
• Versioni corrette secondo il CERT-EU (sono colpite tutte le versioni precedenti):
  • Bitbucket Data Center: 9.4.26, 10.2.8, 10.5.1;
  • Confluence Data Center: 9.2.26, 10.2.19;
  • Jira Service Management Data Center: 5.12.40, 10.3.26, 11.3.12;
  • Jira Software Data Center: 9.12.40, 10.3.26, 11.3.12;
  • Bamboo Data Center: 10.2.24, 12.1.12;
  • Crowd Data Center: 6.3.7, 7.0.3, 7.1.7, 7.2.4;
  • Crucible e Fisheye: 4.9.15.

Gli elenchi degli enti non sono identici. Quello del CERT-FR riporta le stesse versioni ma non cita Jira Service Management. Il Canadian Centre include anche le edizioni Server (per Bamboo, Bitbucket, Confluence e Crowd Server indica «tutte le versioni») e riporta le versioni con una notazione e, per alcuni rami, numeri diversi. Atlassian raccomanda di passare alla versione LTS corretta o a una successiva: controlla sul bollettino il numero esatto per il tuo ramo.

Impatto per le aziende europee e italiane

I prodotti colpiti reggono il lavoro quotidiano di molti team: Jira e Confluence per ticket e documentazione, Bitbucket per il codice sorgente, Bamboo per build e rilasci, Crowd per la gestione centralizzata degli accessi. Quanto sia grave una lettura non autorizzata dipende da quali file sono raggiungibili. Tra le azioni da fare dopo un possibile sfruttamento, l’NCSC-FI indica la sostituzione delle credenziali di Crowd e delle applicazioni, delle chiavi API e degli altri segreti, e il controllo di nuovi utenti, amministratori e modifiche ai permessi.

Per i soggetti che rientrano nella NIS2, la lettura di credenziali o segreti da un sistema esposto è un incidente da valutare per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN.

Cosa fare subito

1. Inventario: individua tutte le installazioni Atlassian gestite in proprio. L’NCSC-FI raccomanda di controllare anche i nodi dei cluster, gli ambienti di test, i mirror di Bitbucket e ogni altra istanza raggiungibile da Internet.
2. Aggiorna alle versioni corrette o successive, partendo dalle istanze esposte su Internet, come raccomanda il CERT-EU.
3. Se non puoi aggiornare subito: togli l’istanza da Internet finché non è corretta, anche se richiede il login. In alternativa, Atlassian indica tre mitigazioni:
   • opzione 1 (tutti i prodotti): una regola sul WAF o sul proxy che blocca gli URL corrispondenti all’espressione regolare riportata di seguito; poi verifica che blocchi davvero .. accanto a /, \ o ::, anche nelle forme codificate;
   • opzione 2 (Confluence, Jira Service Management, Jira, Bamboo e Crowd): su ogni nodo, attiva il RewriteValve di Tomcat nell’elemento <Context> dell’applicazione e installa un file rewrite.config nella cartella WEB-INF;
   • opzione 3 (solo Bitbucket): aggiungi una regola di blocco in cima a ./app/WEB-INF/urlrewrite.xml su tutti i nodi, i mirror e i nodi delle mirror farm, poi riavvia Bitbucket Data Center. Prima delle opzioni 2 e 3 fai un backup dell’istanza. Le configurazioni esatte sono nel bollettino di Atlassian.
4. Controlla i log di accesso: decodifica ogni riga di richiesta (URL decode) e cerca .. subito accanto a /, \ o ::, oppure cerca nelle righe non decodificate con la stessa espressione regolare.
5. Se trovi tracce: ricostruisci quali file possono essere stati letti, sostituisci le credenziali e i segreti che potrebbero essere esposti, controlla nuovi utenti e amministratori, appartenenze ai gruppi e modifiche ai permessi, e contatta l’autorità competente.

L’espressione regolare indicata da Atlassian, come riportata dal CERT-EU:

(?is).*(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2})(?:\.|%(?:25)*2e){2}(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2}|;|%(?:25)*3b|$).*

Prima di usarla in produzione, confrontala con quella del bollettino.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a scoprire se un’istanza Jira, Confluence o Bitbucket è raggiungibile da fuori. ARX Shield elenca le vulnerabilità aperte per macchina e per pacchetto sulle macchine monitorate, con quelle già sfruttate in evidenza. Con ARX Trace gli analisti possono avviare raccolte e ricerche su più macchine per verificare eventuali tracce.

Ultimo aggiornamento: 8 ottobre 2026