Atlassian CVE-2026-21589 în KEV-ul CISA: este exploatată

Pe 6 octombrie ARX News a scris despre CVE-2026-21589 din Atlassian, vulnerabilitatea de acces arbitrar la fișiere din produsele Data Center, pe baza avertismentelor CERT-FR, NCSC-NL, CERT-EU, BSI, NCSC-FI și Canadian Centre for Cyber Security. Atunci sursele nu erau de acord în privința exploatării. Pe 15 octombrie 2026 CISA a inclus vulnerabilitatea în catalogul său Known Exploited Vulnerabilities (KEV), care reunește vulnerabilitățile pentru care agenția are dovezi de exploatare activă. În continuare găsești noutățile față de primul articol.

Ce se schimbă odată cu includerea în KEV

În primul articol situația era neclară: potrivit CERT-EU, Atlassian nu găsise dovezi de exploatare; Canadian Centre relata că surse deschise indicau o exploatare activă, iar NCSC-FI semnala încercări observate asupra unor sisteme capcană după publicarea unui proof of concept. Odată cu includerea în KEV, CISA consideră vulnerabilitatea exploatată.

Fișa din KEV nu descrie atacurile: nu indică victime, actori sau indicatori de compromitere. La rubrica privind folosirea în campanii ransomware apare «Unknown», adică necunoscut.

Fișa are titlul «Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability» și cere:

• aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, urmând directiva BOD 26-04 a CISA privind prioritizarea actualizărilor în funcție de risc și cerințele sale de triaj criminalistic («Forensics Triage Requirements»);
• pentru serviciile cloud, urmarea aceleiași directive sau renunțarea la produs dacă măsurile de atenuare nu sunt disponibile;
• evaluarea expunerii la Internet a fiecărui sistem.

Pentru agențiile federale americane termenul este 18 octombrie 2026, la trei zile după includere. Termenul nu se aplică firmelor europene, dar arată prioritatea pe care CISA o acordă vulnerabilității.

Detaliile adăugate de NVD

Fișa NVD, publicată pe 5 octombrie și actualizată pe 15, este încă în starea «Awaiting Analysis»: NVD nu a atribuit un scor propriu. Rămâne scorul Atlassian, CVSS 4.0 9.3, cu vectorul AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H. Asta înseamnă atac din rețea, complexitate scăzută, fără privilegii și fără interacțiunea utilizatorului; impact ridicat asupra confidențialității sistemului vulnerabil și niciun impact asupra integrității și disponibilității sale; impact ridicat asupra confidențialității, integrității și disponibilității sistemelor ulterioare (subsequent systems). Slăbiciunea este clasificată CWE-552 (fișiere sau directoare accesibile unor terți).

Descrierea confirmă limita deja cunoscută: atacatorul trebuie să cunoască numele și calea exacte ale fișierului și nu poate lista conținutul directoarelor. Adaugă însă, pentru fiecare produs, versiunea în care a fost introdus defectul, pe care primul articol nu o menționa:

• Bitbucket Data Center: de la 4.6.0; versiuni corectate 9.4.26, 10.2.8, 10.5.1;
• Confluence Data Center: de la 5.10.0; versiuni corectate 9.2.26, 10.2.19;
• Crowd Data Center: de la 2.11.0; versiuni corectate 6.3.7, 7.0.3, 7.1.7, 7.2.4;
• Jira Software Data Center: de la 7.1.0; versiuni corectate 9.12.40, 10.3.26, 11.3.12;
• Jira Service Management Data Center: de la 3.1.0; versiuni corectate 5.12.40, 10.3.26, 11.3.12;
• Bamboo Data Center: de la 7.0.1; versiuni corectate 10.2.24, 12.1.12;
• Crucible și Fisheye: versiunea corectată 4.9.15 (NVD nu indică versiunea în care a apărut defectul).

Versiunile corectate coincid cu cele ale CERT-EU din primul articol. Descrierea NVD include explicit și Jira Service Management, care lipsea din avertismentul CERT-FR.

Printre referințe, NVD face legătura cu tichetele publice Atlassian pentru fiecare produs: BSERV-20604 (Bitbucket), CONFSERVER-104488 (Confluence), CWD-6610 (Crowd), JRASERVER-79546 (Jira Software), JSDSERVER-16809 (Jira Service Management), BAM-26567 (Bamboo), CRUC-8741 (Crucible) și FE-7583 (Fisheye). Apare și un depozit public pe GitHub al watchTowr Labs dedicat acestei CVE; NCSC-FI semnalase deja publicarea unui proof of concept funcțional.

Impactul pentru firmele europene și italiene

Potrivit CISA, vulnerabilitatea a fost exploatată: o instanță Data Center neactualizată și accesibilă din Internet trebuie considerată, așadar, expusă unui risc concret. Cât de gravă este o citire depinde de fișierele aflate în directorul rădăcină al aplicației web; Atlassian avertizează că în unele configurații există fișiere sensibile.

Produsele afectate păstrează tichete, documentație, cod sursă, pipeline-uri de build și, cu Crowd, gestionarea centralizată a accesului. Pentru entitățile care intră sub incidența NIS2 rămâne valabil ce am scris în primul articol: gestionarea vulnerabilităților exploatate face parte din măsurile de securitate, iar citirea unor credențiale sau secrete dintr-un sistem expus este un incident de evaluat pentru notificarea către CSIRT-ul național, care în Italia este CSIRT Italia al ACN.

Ce să faci acum

1. Actualizează la versiunile corectate sau ulterioare, începând cu instanțele expuse în Internet.
2. Dacă nu poți actualiza imediat, scoate instanța din Internet sau aplică măsurile de atenuare Atlassian descrise în primul articol: regulă pe WAF sau pe proxy, RewriteValve din Tomcat ori regulă în urlrewrite.xml pentru Bitbucket.
3. Verifică versiunile tuturor instanțelor, inclusiv nodurile din clustere, mediile de test și mirror-ele Bitbucket, comparându-le cu lista de mai sus și cu tichetul Atlassian al produsului.
4. Fă triajul criminalistic, așa cum cere și CISA: caută în jurnalele de acces secvențele .. imediat lângă /, \ sau ::, inclusiv codificate în URL, cel puțin începând cu 5 octombrie, data publicării CVE.
5. Dacă găsești urme: reconstituie ce fișiere ar fi putut fi citite, înlocuiește credențialele, cheile API și alte secrete care ar fi putut fi expuse, verifică utilizatorii și administratorii noi și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune firma ta în Internet și ce produse cu vulnerabilități cunoscute sunt recunoscute pe ele: te ajută să afli dacă o instanță Jira, Confluence sau Bitbucket este accesibilă din exterior. ARX Shield listează vulnerabilitățile deschise pe mașinile monitorizate, cu cele deja exploatate evidențiate. Cu ARX Trace, analiștii pot lansa colectări și căutări pe mai multe mașini pentru a verifica eventualele urme.

Ultima actualizare: 15 octombrie 2026