CVE-2026-21589 Atlassian任意文件访问修复
漏洞概要Atlassian 已发布补丁，修复影响 8 款产品所有版本的一个严重漏洞。漏洞编号 CVE-2026-21589，CVSS 评分 9.3，属于任意文件访问问题。未认证攻击者可利用该漏洞访问 Web 应用根目录中的特定文件；利用前需要知道目标文件的准确名称和路径，漏洞本身不允许攻击者枚举或列出目录内容。Atlassian 提醒，在某些配置中可能存在敏感文件，从而提高风险。
受影响产品
所有版本的以下产品受影响：Bitbucket Data Center、Bamboo Data Center、Crowd Data Center、Crucible、Confluence Data Center、Fisheye、Jira Service Management Data Center、Jira Software Data Center。
修复版本
Bitbucket Data Center：9.4.26、10.2.8、10.5.1
Bamboo Data Center：10.2.24、12.1.12
Confluence Data Center：9.2.26、10.2.19
Crowd Data Center：6.3.7、7.0.3、7.1.7、7.2.4
Crucible：4.9.15
Fisheye：4.9.15
Jira Service Management Data Center：5.12.40、10.3.26、11.3.12
Jira Software Data Center：9.12.40、10.3.26、11.3.12
处置建议
自托管部署应尽快安装补丁；无法立即修复的实例，建议先断开与互联网的连接。可公网访问的实例，包括启用了用户认证的实例，应限制外部网络访问，直到完成处置。Atlassian 公告还列出了临时缓解措施。无法立即打补丁时，可按厂商指南部署 WAF 规则以拦截利用尝试。
风险提示
Atlassian 与 WatchTowr 均表示，目前没有证据表明 CVE-2026-21589 已被在野利用。WatchTowr 同时指出，勒索软件组织和 APT 过去曾利用这类漏洞，CISA KEV 列表中目前有 8 个 Atlassian 安全漏洞。WatchTowr 首席威胁情报专家 Yordan Ganchev 表示，通过 Crowd 启用 SSO 的组织应格外谨慎：认证信息以明文存储在可预测且已知的路径中，可被轻易提取；攻击者可借此伪造管理员用户，并在 Crowd 端点可远程访问时获得访问权限。运行上述任一受影响产品的本地部署组织应立即打补丁；不能立即打补丁的，应遵循厂商指南部署 WAF 规则阻止利用尝试。
Re: CVE-2026-21589 Atlassian任意文件访问修复
感谢楼主整理，这个漏洞影响面挺大，8 款产品所有版本都受影响，CVSS 9.3 也确实高。自托管环境建议赶紧核对修复版本升级；如果暂时打不了补丁，先按公告建议断公网或限制外部访问，并考虑按厂商指南上 WAF。用 Crowd 做 SSO 的要特别小心，认证信息明文存在可预测路径这个点风险很大，Crowd 端点能远程访问的话更该优先处理。虽然目前没有在野利用证据，但这类漏洞过去常被勒索和 APT 盯上，还是别拖。Re: CVE-2026-21589 Atlassian任意文件访问修复
这个提醒很关键，CVE-2026-21589 评分 9.3，而且覆盖 Atlassian 8 款产品所有版本，影响面确实不小。虽然利用前要知道具体文件名和路径，不能直接枚举目录，但 Crowd 启用 SSO 的配置下风险会更高，认证信息明文放在可预测路径里，被提取后可能伪造管理员。自托管环境最好尽快按对应修复版本打补丁；如果一时升不了，先断开互联网或限制外部网络访问，并按厂商指南上 WAF 规则。目前没有在野利用证据，但公网可访问的实例还是别拖。Re: CVE-2026-21589 Atlassian任意文件访问修复
感谢整理，这条信息很关键。9.3 分加上影响 8 款产品的所有版本，自托管部署确实不能拖，尤其是 Confluence、Jira、Bitbucket 这些常放在公网的环境。虽然漏洞利用需要知道准确文件名和路径，不能枚举目录，但 Crowd 启用 SSO 的场景风险明显更高，认证信息明文存在可预测路径里，一旦被提取就可能伪造管理员，所以能打补丁就尽快打。 如果没法立刻升级，按公告先断开互联网或限制外部网络访问，再按厂商指南部署 WAF 规则拦截利用尝试，比较稳妥。修复版本楼主列得很清楚，我这边先去核对下自己用的 Jira 和 Confluence 版本，也提醒下负责 Crowd 的同事重点检查。
页:
[1]