Luka CVE-2026-21589 w Jira i Confluence już atakowana. Ataki ruszyły 2 godziny po publikacji kodu
Hakerzy już wykorzystują lukę CVE-2026-21589 w Jira, Confluence i Bitbucket Data Center. Kradną hasła z crowd.properties. Co zrobić teraz.
Podatności
Atlassian: krytyczna luka w Jira, Confluence i Bitbucket Data Center pozwala czytać pliki bez logowania
CVE-2026-21589 (CVSS 9,3) dotyczy ośmiu produktów Atlassian w wersji Data Center. Wersje w chmurze są już załatane. Tabela wersji z poprawką i co zrobić, jeśli nie możesz aktualizować od razu.
Atlassian ostrzega przed krytyczną podatnością CVE-2026-21589 (CVSS 9,3) w ośmiu produktach w wersji Data Center: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible i Fisheye. Luka pozwala bez logowania odczytać pliki z katalogu głównego aplikacji internetowej.
Jak groźna jest ta luka
Atlassian podkreśla dwa ograniczenia: napastnik musi znać dokładną nazwę i ścieżkę pliku i nie może przeglądać zawartości katalogów. Nie ma to jednak większego znaczenia, bo struktura plików tych produktów jest powszechnie znana. Badacze z watchTowr zwracają uwagę, że w katalogu aplikacji często lądują pliki konfiguracyjne, klucze i dokumentacja wewnętrzna.
Na dzień publikacji nie odnotowano ataków z użyciem tej luki, a producent nie wskazał publicznego kodu eksploitu. Doświadczenie z poprzednimi lukami w Confluence uczy jednak, że od publikacji komunikatu do masowego skanowania internetu mijają często dni, a nie tygodnie.
Wersje w chmurze (Atlassian Cloud) są już załatane i nie wymagają działań.
Wersje z poprawką
| Produkt | Wersje z poprawką |
|---|---|
| Bitbucket Data Center | 9.4.26, 10.2.8, 10.5.1 |
| Confluence Data Center | 9.2.26, 10.2.19 |
| Jira Software Data Center | 9.12.40, 10.3.26, 11.3.12 |
| Jira Service Management Data Center | 5.12.40, 10.3.26, 11.3.12 |
| Bamboo Data Center | 10.2.24, 12.1.12 |
| Crowd Data Center | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible i Fisheye | 4.9.15 |
Co zrobić
- Zaktualizuj do jednej z powyższych wersji.
- Jeśli nie możesz zrobić tego od razu, odetnij instancje od internetu (VPN, lista dozwolonych adresów) albo zastosuj jedno z trzech tymczasowych obejść z komunikatu Atlassiana.
- Dodaj w zaporze aplikacyjnej (WAF) reguły blokujące zapytania z sekwencją
..w ścieżce. - Przejrzyj dzienniki serwera pod kątem takich zapytań. Jeśli je znajdziesz, potraktuj klucze i hasła zapisane w plikach aplikacji jako ujawnione i je zmień.
Komentarz SecurHUB
Jira i Confluence to w wielu firmach „pamięć organizacji”: hasła wklejone w zgłoszenia, schematy sieci, procedury. Dlatego warto, by instancje Data Center nie były dostępne z internetu bez potrzeby. Sprawdzamy to w ramach testów penetracyjnych sieci i utwardzania systemów.
Źródła: Atlassian, Help Net Security, watchTowr
