Atlassian Data Center: CVE-2026-21589, fișiere citite fără login

📌 Evoluții ulterioare: Atlassian CVE-2026-21589 în KEV-ul CISA: este exploatată (15 octombrie 2026)

Pe 5 octombrie 2026, Atlassian a publicat un buletin despre o vulnerabilitate critică ce afectează mai multe dintre produsele sale instalate la client (edițiile Data Center): CVE-2026-21589, cu un scor CVSS 4.0 de 9.3. Ea permite unui atacator neautentificat să citească anumite fișiere aflate în directorul rădăcină al aplicației web. Atlassian Cloud a fost deja corectat, iar clienții serviciului în cloud nu trebuie să facă nimic.

Între 6 și 8 octombrie au publicat avertismente CERT-FR, NCSC-NL, CERT-EU, BSI/CERT-Bund, NCSC-FI și Canadian Centre for Cyber Security.

Ce s-a întâmplat

Potrivit CERT-EU, care preia buletinul producătorului, este o vulnerabilitate de acces arbitrar la fișiere. NCSC-FI precizează că poate fi exploatată prin rețea, fără credențiale și fără nicio acțiune a utilizatorilor. Are însă o limită: atacatorul trebuie să cunoască dinainte numele și calea exacte ale fișierului, deoarece vulnerabilitatea nu permite listarea conținutului directoarelor. Atlassian avertizează că unele configurații pot conține fișiere sensibile, ceea ce mărește riscul.

Instituțiile o clasifică în mod asemănător: CERT-FR vorbește despre afectarea confidențialității datelor, BSI despre divulgarea de informații cu gravitate ridicată, iar NCSC-NL și-a clasificat avertismentul (NCSC-2026-0402) ca M/H, adică probabilitate medie și daune mari. CERT-EU și NCSC-FI o consideră critică.

Exploatare: sursele nu coincid

Avertismentele, publicate în zile diferite, descriu o situație care a evoluat:

• potrivit CERT-EU (7 octombrie), Atlassian declară că investigația sa nu a găsit dovezi de exploatare;
• Canadian Centre for Cyber Security, în actualizarea din 7 octombrie, arată că surse deschise indică o exploatare activă a CVE-2026-21589;
• NCSC-FI (8 octombrie) semnalează că au fost publicate un proof of concept funcțional și un șablon pentru scanerele automate de vulnerabilități și că, la scurt timp după aceea, au fost observate pe Internet încercări de exploatare. Precizează însă că observațiile publice privesc deocamdată sisteme capcană (honeypot), nu breșe confirmate la organizații.

Detalii tehnice

• CVE: CVE-2026-21589, CVSS 4.0 9.3 (critică).
• Tipul defectului: acces arbitrar la fișiere din directorul rădăcină al aplicației web, fără posibilitatea de a lista directoarele.
• Vector: rețea, fără autentificare și fără interacțiunea utilizatorului.
• Ce să cauți în cereri: măsurile și verificările indicate de Atlassian vizează secvențele .. imediat lângă /, \ sau ::, inclusiv în forma codificată în URL.
• MITRE ATT&CK: exploatarea unui serviciu expus corespunde tehnicii T1190 (Exploit Public-Facing Application).
• Versiuni corectate potrivit CERT-EU (toate versiunile anterioare sunt afectate):
  • Bitbucket Data Center: 9.4.26, 10.2.8, 10.5.1;
  • Confluence Data Center: 9.2.26, 10.2.19;
  • Jira Service Management Data Center: 5.12.40, 10.3.26, 11.3.12;
  • Jira Software Data Center: 9.12.40, 10.3.26, 11.3.12;
  • Bamboo Data Center: 10.2.24, 12.1.12;
  • Crowd Data Center: 6.3.7, 7.0.3, 7.1.7, 7.2.4;
  • Crucible și Fisheye: 4.9.15.

Listele instituțiilor nu sunt identice. Cea a CERT-FR conține aceleași versiuni, dar nu menționează Jira Service Management. Canadian Centre include și edițiile Server (pentru Bamboo, Bitbucket, Confluence și Crowd Server indică „toate versiunile”) și prezintă versiunile cu o altă notație și, pentru unele ramuri, cu numere diferite. Atlassian recomandă trecerea la versiunea LTS corectată sau la una ulterioară: verifică în buletin numărul exact pentru ramura ta.

Impactul pentru companiile europene și italiene

Produsele afectate susțin munca zilnică a multor echipe: Jira și Confluence pentru tichete și documentație, Bitbucket pentru codul sursă, Bamboo pentru build-uri și lansări, Crowd pentru gestionarea centralizată a accesului. Gravitatea unei citiri neautorizate depinde de fișierele care pot fi accesate. Printre acțiunile de după o posibilă exploatare, NCSC-FI indică înlocuirea credențialelor Crowd și ale aplicațiilor, a cheilor API și a altor secrete, precum și verificarea utilizatorilor noi, a administratorilor și a modificărilor de permisiuni.

Pentru entitățile care intră sub incidența NIS2, citirea unor credențiale sau secrete dintr-un sistem expus este un incident de evaluat în vederea notificării către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN.

Ce să faci acum

1. Inventar: identifică toate instalările Atlassian administrate de organizația ta. NCSC-FI recomandă să verifici și nodurile clusterelor, mediile de test, mirror-urile Bitbucket și orice altă instanță accesibilă de pe Internet.
2. Actualizează la versiunile corectate sau ulterioare, începând cu instanțele expuse pe Internet, așa cum recomandă CERT-EU.
3. Dacă nu poți actualiza imediat: scoate instanța de pe Internet până când este corectată, chiar dacă necesită autentificare. Ca alternativă, Atlassian indică trei măsuri de atenuare:
   • opțiunea 1 (toate produsele): o regulă pe WAF sau pe proxy care blochează URL-urile ce corespund expresiei regulate prezentate mai jos; apoi verifică faptul că blochează într-adevăr .. lângă /, \ sau ::, inclusiv în formele codificate;
   • opțiunea 2 (Confluence, Jira Service Management, Jira, Bamboo și Crowd): pe fiecare nod, activează RewriteValve din Tomcat în elementul <Context> al aplicației și instalează un fișier rewrite.config în directorul WEB-INF;
   • opțiunea 3 (doar Bitbucket): adaugă o regulă de blocare la începutul fișierului ./app/WEB-INF/urlrewrite.xml pe toate nodurile, mirror-urile și nodurile mirror farm, apoi repornește Bitbucket Data Center. Fă o copie de rezervă a instanței înainte de opțiunile 2 și 3. Configurațiile exacte se află în buletinul Atlassian.
4. Verifică jurnalele de acces: decodifică fiecare linie de cerere (URL decode) și caută .. imediat lângă /, \ sau ::, ori caută în liniile nedecodificate cu aceeași expresie regulată.
5. Dacă găsești urme: stabilește ce fișiere ar fi putut fi citite, înlocuiește credențialele și secretele care ar fi putut fi expuse, verifică utilizatorii și administratorii noi, apartenența la grupuri și modificările de permisiuni și contactează autoritatea competentă.

Expresia regulată indicată de Atlassian, așa cum este redată de CERT-EU:

(?is).*(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2})(?:\.|%(?:25)*2e){2}(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2}|;|%(?:25)*3b|$).*

Înainte de a o folosi în producție, compar-o cu cea din buletin.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă o instanță Jira, Confluence sau Bitbucket este accesibilă din exterior. ARX Shield listează vulnerabilitățile deschise pe mașină și pe pachet pe mașinile monitorizate, evidențiindu-le pe cele deja exploatate. Cu ARX Trace, analiștii pot lansa colectări și căutări pe mai multe mașini pentru a verifica eventualele urme.

Ultima actualizare: 8 octombrie 2026