【缝隙公告】Atlassian多款产品肆意文件读取缝隙（CVE-2026-21589)

颁布功夫 2026-10-08

一、缝隙概述


Z6·人生就是博(中国区)官方网站


Atlassian是一家企业合作与软件开发工具提供商，旗下产品涵盖Jira、Confluence、Bitbucket、Bamboo、Crowd等 。Jira重要用于项目治理和问题跟踪，Confluence用于团队知识治理与文档合作，Bitbucket提供代码托管和版本治理，Bamboo支持持续集成与部署，Crowd提供集中身份认证与用户治理，宽泛利用于企业研发、运维及合作治理场景 。


2026年10月8日，Z6人生就是博安全应急响应中心（VSRC）监测到Atlassian多款产品肆意文件读取缝隙 。由于利用对特定文件接见蹊径的限度存在缺点，未经身份认证的远程攻击者可通过机关蕴含特殊蹊径序列的要求，接见Web利用根目录内的指定文件 。缝隙利用必要提前获知指标文件的正确名称及蹊径，无法直接枚举目录内容 。在特定部署环境下，攻击者可能读取蕴含敏感信息的文件，造成信息泄露，并对业务系统安全组成严沉威胁 。



二、影响领域



Bitbucket Data Center 9.4.x < 9.4.26

Bitbucket Data Center 10.2.x < 10.2.8

Bitbucket Data Center 10.5.x < 10.5.1

Confluence Data Center 9.2.x < 9.2.26

Confluence Data Center 10.2.x < 10.2.19

Jira Service Management Data Center 5.12.x < 5.12.40

Jira Service Management Data Center 10.3.x < 10.3.26

Jira Service Management Data Center 11.3.x < 11.3.12

Jira Software Data Center 9.12.x < 9.12.40

Jira Software Data Center 10.3.x < 10.3.26

Jira Software Data Center 11.3.x < 11.3.12

Bamboo Data Center 10.2.x < 10.2.24

Bamboo Data Center 12.1.x < 12.1.12

Crowd Data Center 6.3.x < 6.3.7

Crowd Data Center 7.0.x < 7.0.3

Crowd Data Center 7.1.x < 7.1.7

Crowd Data Center 7.2.x < 7.2.4

Crucible < 4.9.15

Fisheye < 4.9.15


Atlassian官方指出，该缝隙影响Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible及Fisheye等产品 。上述领域列出了已颁布建复版本的对应分支，其他未列出的版本分支不代表不受缝隙影响 。建议受影响用户凭据现实产品版本，实时升级至对应的官方建复版本或更新版本 。



三、安全措施



3.1 升级版本


Bitbucket Data Center 9.4.x >= 9.4.26

Bitbucket Data Center 10.2.x >= 10.2.8

Bitbucket Data Center 10.5.x >= 10.5.1

Confluence Data Center 9.2.x >= 9.2.26

Confluence Data Center 10.2.x >= 10.2.19

Jira Service Management Data Center 5.12.x >= 5.12.40

Jira Service Management Data Center 10.3.x >= 10.3.26

Jira Service Management Data Center 11.3.x >= 11.3.12

Jira Software Data Center 9.12.x >= 9.12.40

Jira Software Data Center 10.3.x >= 10.3.26

Jira Software Data Center 11.3.x >= 11.3.12

Bamboo Data Center 10.2.x >= 10.2.24

Bamboo Data Center 12.1.x >= 12.1.12

Crowd Data Center 6.3.x >= 6.3.7

Crowd Data Center 7.0.x >= 7.0.3

Crowd Data Center 7.1.x >= 7.1.7

Crowd Data Center 7.2.x >= 7.2.4

Crucible >= 4.9.15

Fisheye >= 4.9.15


下载链接：

https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html/


3.2 一时措施


对于临时无法实现升级的系统，建议优先限度有关服务的公网接见，降低未经身份认证的远程攻击风险 。同时，可依照厂商提供的一时缓解措施，在Web利用防火墙（WAF）或反向代理层配置要求过滤规定，拦截蕴含蹊径遍历特点及其URL编码大局的异常要求；Confluence、Jira、Jira Service Management、Bamboo和Crowd可通过Tomcat RewriteValve配置要求拦截规定，Bitbucket可通过批改urlrewrite.xml文件增长接见限度 。执行前应做好配置备份，确保集群全数节点及Bitbucket镜像节点同步利用缓解措施 。此表，应加强Web接见日志审计，沉点排查异常蹊径接见及敏感文件读取行为，实时发现潜在的缝隙利用活动 。


3.3 通用建议


定期更新系统补丁，削减系统缝隙，提升服务器的安全性 。

加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面 。

使用企业级安全产品，提升企业的网络安全机能 。

加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度 。

启用强密码战术并设置为定期批改 。


3.4 参考链接


https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html

https://github.com/watchtowrlabs/watchTowr-vs-Atlassian-CVE-2026-21589