Вразливість CVE-2026-21589 (CVSS 9.3, EPSS ≥ 78-й pctl) є критичною проблемою довільного доступу до файлів [CWE-552], яка стосується рішень Atlassian Jira Service Management Data Center, Jira Software Data Center, Confluence Data Center, Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible та Fisheye. Усі версії цих продуктів, для яких не застосовано виправлення, залишаються вразливими. У разі використання Crowd SSO та за наявності певних умов цю вразливість можна додатково експлуатувати для перехоплення керування обліковим записом адміністратора. Наразі вважається, що CVE-2026-21589 активно експлуатується, проте станом на 13 жовтня 2026 року її ще не внесено до переліку KEV CISA.
Опубліковано детальний технічний аналіз усього ланцюга атаки, зокрема щодо перехоплення керування обліковим записом адміністратора Jira. Також у відкритому доступі знаходяться експлойти PoC для несанкціонованого читання файлів і повного циклу захоплення облікових записів. Кілька національних команд CERT випустили попередження про цю проблему.
Оцінка ризиків CVE-2026-21589 у продуктах Atlassian Data Center
Рішення Atlassian Data Center є корпоративними платформами, що розгортаються локально та призначені для трекінгу проєктів, ведення документації, автоматизації збірок, управління обліковими записами, рецензування коду тощо. Через це вразливість CVE-2026-21589 становить високий ризик для широкого спектра критично важливих для бізнесу робочих процесів. До того ж продукти Atlassian і раніше використовувалися операторами програм-вимагачів та APT-групами (Advanced Persistent Threat). Ці продукти включені до переліку KEV агентства CISA 13 разів, причому для 8 із них зафіксовано активність із використанням програм-вимагачів.
CVE-2026-21589 надає неавтентифікованим зловмисникам доступ до файлів у межах кореневого каталогу вебзастосунку, тоді як наявність Crowd SSO робить ймовірність створення ними нових облікових записів і призначення адміністративних привілеїв. Реалізація повного ланцюга атаки може завершитися отриманням несанкціонованого доступу з правами адміністратора. Ризик додатково посилюється статусом активної експлуатації цієї проблеми, а також доступністю експлойтів PoC і детального технічного опису.
Технічний опис CVE-2026-21589 у рішеннях Atlassian Data Center
- CVSS 9.3 – Критична.
- EPSS 1.8% (78-й).
- Зафіксовано активну експлуатацію.
- Наявний публічний PoC.
CVE-2026-21589 (CVSS 9.3, EPSS ≥ 78-й pctl) надає неавтентифікованим зловмисникам доступ до файлів [CWE-552] у межах кореневого каталогу вебзастосунку, якщо вони заздалегідь знають точне ім’я файлу та його шлях. Проте CVE-2026-21589 не дозволяє зловмисникам перераховувати або виводити список вмісту каталогів. У випадках використання Crowd SSO із достатніми правами для створення користувачів і модифікації членства в групах зловмисники можуть створювати акаунти та перехоплювати керування на рівні адміністратора.
Джерелом цієї вразливості є спільний плагін Atlassian Web Resource Plugin, а саме процес обробки шляхів до ресурсів усередині бібліотеки atlassian-plugins-webresource. Завдяки тому, що функція Router.unescapeSlashes() конвертує подвійні двокрапки (::) у скісні риски (/), зловмисники отримують змогу створювати корисні навантаження для переходу між каталогами та обходити встановлені обмеження щодо шляхів. Надсилаючи шкідливі запити HTTP до кінцевих точок вебресурсів неавтентифікований зловмисник здатен використати механізм обслуговування ресурсів для доступу до прихованих файлів у межах дерева кореневого каталогу вебзастосунку. До таких файлів належать і конфіденційні файли конфігурації, розміщені в директорії WEB-INF.
У розгортаннях Jira з інтеграцією Atlassian Crowd може бути відкритим доступ до файлу конфігурації WEB-INF/classes/crowd.properties, що містить назву застосунку Crowd, пароль застосунку у відкритому тексті та адресу URL сервера Crowd. За умови отримання цих облікових даних і наявності доступу до сервера Crowd зловмисник має можливість автентифікуватися через його REST API, отримати перелік діючих користувачів, створити нові облікові записи, а також змінити склад груп.
Фахівці watchTowr Labs створили новий обліковий запис користувача Crowd та внесли його до групи jira-administrators, здобувши адміністративні привілеї в Jira. Успішність такого сценарію експлуатації залежить від налаштованої інтеграції Crowd, наявності розкритих облікових даних і доступу до сервісу Crowd через мережу. Водночас суворі списки дозволених адрес IP для Crowd можуть знизити ймовірність експлуатації.
Вразливі продукти та заходи для зниження ризиків для CVE-2026-21589 у продуктах Atlassian Data Center
Вразливість CVE-2026-21589 впливає на Jira Service Management Data Center, Jira Software Data Center, Confluence Data Center, Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible та Fisheye. Будь-які версії до випуску відповідних виправлень залишаються вразливими. Необхідно терміново оновити вразливі інсталяції в середовищі IT, надаючи пріоритет тим, що мають доступ до інтернету.
Компанія Atlassian надала правила міжмережевого екрана вебзастосунків (WAF) для пом’якшення наслідків вразливості в усіх продуктах, що зазнали її впливу, а також правила Tomcat RewriteValve для Confluence, Jira Service Management, Jira Software, Bamboo та Crowd. Для Bitbucket було випущено правило, яке можна додати до файлу urlrewrite.xml. Надані постачальником обхідні рішення є лише тимчасовими заходами пом’якшення наслідків.
Виправлені версії наведено нижче:
| Продукт | Виправлені версії |
| Jira Service Management Data Center | 5.12.40, 10.3.26, 11.3.12 |
| Jira Software Data Center | 9.12.40, 10.3.26, 11.3.12 |
| Confluence Data Center | 9.2.26, 10.2.19 |
| Bitbucket Data Center | 9.4.26, 10.2.8, 10.5.1 |
| Bamboo Data Center | 10.2.24, 12.1.12 |
| Crowd Data Center | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible | 4.9.15 |
| Fisheye | 4.9.15 |
Підсумок
Вразливість CVE-2026-21589 є критичною проблемою довільного читання файлів без автентифікації, яка наразі активно експлуатується та стосується всіх невиправлених версій кількох рішень Atlassian Data Center. Завдяки цій вразливості можна отримати доступ до конкретних файлів у кореневій директорії вебзастосунку за умови попереднього знання точного шляху та імені цільового файлу. Якщо застосовується Crowd SSO, зловмисники здатні додатково використати CVE-2026-21589 для перехоплення адміністративних привілеїв. Рекомендується невідкладно обмежити доступ до екземплярів, доступних із мережі Інтернет, та терміново встановити оновлену версію продукту.
Рішення OPENVAS SCAN версії Enterprise від Greenbone демонструє високу ефективність у виявленні вразливостей периметра за допомогою як мережевого сканування, так і автентифікованого сканування на рівні хоста.
Також, одразу після оприлюднення інформації про CVE-2026-21589 до OPENVAS ENTERPRISE FEED було додано можливості виявлення для всіх продуктів Atlassian, що зазнали впливу:
- Віддалена перевірка банера для Atlassian Jira Service Management Data Center.
- Активна перевірка та віддалена перевірка банера для Atlassian Jira Software Data Center.
- Активна перевірка та віддалена перевірка банера для Atlassian Confluence.
- Активна перевірка та віддалена перевірка банера для Atlassian Bitbucket.
- Віддалена перевірка банера для Atlassian Bamboo.
- Віддалена перевірка банера для Atlassian Crowd.
- Віддалена перевірка банера для Atlassian Fisheye та Crucible.
