Уязвимость CVE-2026-21589 (CVSS 9.3, EPSS ≥ 78-й pctl) представляет собой критическую проблему произвольного доступа к файлам [CWE-552], которая затрагивает решения Atlassian Jira Service Management Data Center, Jira Software Data Center, Confluence Data Center, Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible и Fisheye. Все неисправленные версии этих продуктов остаются уязвимыми. При использовании Crowd SSO и наличии определенных условий эту уязвимость можно дополнительно эксплуатировать для перехвата управления учетной записью администратора. В настоящее время считается, что CVE-2026-21589 активно эксплуатируется, однако по состоянию на 13 октября 2026 года она еще не внесена в каталог KEV CISA.
Опубликован подробный технический анализ всей цепочки атаки, в частности касательно перехвата управления учетной записью администратора Jira. Также в открытом доступе находятся PoC-эксплойты для несанкционированного чтения файлов и полного цикла захвата учетных записей. Несколько национальных команд CERT выпустили предупреждения об этой проблеме.
Оценка рисков CVE-2026-21589 в продуктах Atlassian Data Center
Решения Atlassian Data Center являются корпоративными платформами, развертываемыми локально и предназначенными для отслеживания проектов, ведения документации, автоматизации сборок, управления учетными записями, проверки кода и т. д. Ввиду этого уязвимость CVE-2026-21589 представляет высокий риск для широкого спектра критически важных для бизнеса рабочих процессов. К тому же продукты Atlassian и ранее использовались операторами программ-вымогателей и APT-группировками (Advanced Persistent Threat). Эти продукты включены в каталог KEV агентства CISA 13 раз, причем для 8 из них зафиксирована активность с использованием программ-вымогателей.
CVE-2026-21589 предоставляет неаутентифицированным злоумышленникам доступ к файлам в пределах корневого каталога веб-приложения, тогда как наличие Crowd SSO создает вероятность создания ими новых учетных записей и назначения административных привилегий. Реализация полной цепочки атаки может завершиться получением несанкционированного доступа с правами администратора. Риск дополнительно усугубляется статусом активной эксплуатации этой проблемы, а также доступностью PoC-эксплойтов и подробного технического описания.
Техническое описание CVE-2026-21589 в решениях Atlassian Data Center
- CVSS 9.3 – Критическая.
- EPSS 1.8% (78-й).
- Зафиксирована активная эксплуатация.
- Доступен публичный PoC.
CVE-2026-21589 (CVSS 9.3, EPSS ≥ 78-й pctl) предоставляет неаутентифицированным злоумышленникам доступ к файлам [CWE-552] в пределах корневого каталога веб-приложения, если они заранее знают точное имя файла и его путь. Однако CVE-2026-21589 не позволяет злоумышленникам перечислять или выводить список содержимого каталогов. В случаях использования Crowd SSO с достаточными правами для создания пользователей и изменения членства в группах злоумышленники могут создавать учетные записи и перехватывать управление на уровне администратора.
Источником этой уязвимости является общий плагин Atlassian Web Resource Plugin, а именно процесс обработки путей к ресурсам внутри библиотеки atlassian-plugins-webresource. Благодаря тому, что функция Router.unescapeSlashes() преобразует двойные двоеточия (::) в косые черты (/), злоумышленники получают возможность создавать полезные нагрузки для перемещения по каталогам и обходить установленные ограничения для путей. Отправляя вредоносные HTTP-запросы к конечным точкам веб-ресурсов, неаутентифицированный злоумышленник способен использовать механизм обслуживания ресурсов для доступа к скрытым файлам в пределах дерева корневого каталога веб-приложения. К таким файлам относятся и конфиденциальные файлы конфигурации, размещенные в директории WEB-INF.
В развертываниях Jira с интеграцией Atlassian Crowd может быть открыт доступ к файлу конфигурации WEB-INF/classes/crowd.properties, который содержит название приложения Crowd, пароль приложения в открытом виде и URL-адрес сервера Crowd. При условии получения этих учетных данных и наличия доступа к серверу Crowd злоумышленник имеет возможность аутентифицироваться через его REST API, получить список действующих пользователей, создать новые учетные записи, а также изменить состав групп.
Специалисты watchTowr Labs создали новую учетную запись пользователя Crowd и включили ее в группу jira-administrators, получив административные привилегии в Jira. Успешность такого сценария эксплуатации зависит от настроенной интеграции Crowd, наличия раскрытых учетных данных и доступа к сервису Crowd по сети. В то же время строгие списки разрешенных IP-адресов для Crowd могут снизить вероятность эксплуатации.
Уязвимые продукты и меры по снижению рисков для CVE-2026-21589 в продуктах Atlassian Data Center
Уязвимость CVE-2026-21589 влияет на Jira Service Management Data Center, Jira Software Data Center, Confluence Data Center, Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible и Fisheye. Любые версии до выпуска соответствующих исправлений остаются уязвимыми. Необходимо срочно обновить уязвимые инсталляции в IT-среде, уделяя приоритет тем, которые имеют доступ к интернету.
Компания Atlassian предоставила правила межсетевого экрана веб-приложений (WAF) для смягчения последствий уязвимости во всех затронутых ею продуктах, а также правила Tomcat RewriteValve для Confluence, Jira Service Management, Jira Software, Bamboo и Crowd. Для Bitbucket было выпущено правило, которое можно добавить в файл urlrewrite.xml. Предоставленные поставщиком обходные решения являются лишь временными мерами смягчения последствий.
Исправленные версии приведены ниже:
| Продукт | Исправленные версии |
| Jira Service Management Data Center | 5.12.40, 10.3.26, 11.3.12 |
| Jira Software Data Center | 9.12.40, 10.3.26, 11.3.12 |
| Confluence Data Center | 9.2.26, 10.2.19 |
| Bitbucket Data Center | 9.4.26, 10.2.8, 10.5.1 |
| Bamboo Data Center | 10.2.24, 12.1.12 |
| Crowd Data Center | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible | 4.9.15 |
| Fisheye | 4.9.15 |
Итог
Уязвимость CVE-2026-21589 является критической проблемой произвольного чтения файлов без аутентификации, которая в настоящее время активно эксплуатируется и затрагивает все неисправленные версии нескольких решений Atlassian Data Center. Благодаря этой уязвимости можно получить доступ к конкретным файлам в корневой директории веб-приложения при условии предварительного знания точного пути и имени целевого файла. Если применяется Crowd SSO, злоумышленники способны дополнительно использовать CVE-2026-21589 для перехвата административных привилегий. Рекомендуется безотлагательно ограничить доступ к экземплярам, доступным из сети Интернет, и срочно установить обновленную версию продукта.
Решение OPENVAS SCAN версии Enterprise от Greenbone демонстрирует высокую эффективность в выявлении уязвимостей периметра с помощью как сетевого сканирования, так и аутентифицированного сканирования на уровне хоста.
Также сразу после обнародования информации о CVE-2026-21589 в OPENVAS ENTERPRISE FEED были добавлены возможности обнаружения для всех затронутых продуктов Atlassian:
- Удаленная проверка баннера для Atlassian Jira Service Management Data Center.
- Активная проверка и удаленная проверка баннера для Atlassian Jira Software Data Center.
- Активная проверка и удаленная проверка баннера для Atlassian Confluence.
- Активная проверка и удаленная проверка баннера для Atlassian Bitbucket.
- Удаленная проверка баннера для Atlassian Bamboo.
- Удаленная проверка баннера для Atlassian Crowd.
- Удаленная проверка баннера для Atlassian Fisheye и Crucible.
