Atlassian CVE-2026-21589 已遭在野利用
漏洞概述Atlassian 于 10 月 5 日披露自托管 Data Center 产品中的严重漏洞 CVE-2026-21589，CVSS 评分 9.3。受影响产品包括 Bitbucket、Confluence、Jira Software、Jira Service Management、Bamboo、Crowd、Crucible 和 Fisheye。Atlassian 表示所有受影响版本均已有补丁。
漏洞影响
该漏洞允许远程、未认证攻击者访问 Web 应用根目录中的特定文件。利用需要事先知道目标文件的准确名称和路径，且不能用于列出目录内容。
PoC 与利用链
WatchTowr 于 10 月 6 日发布分析及 PoC。研究人员将问题追溯到相关产品共用的库。更大的风险出现在 Jira 与 Crowd 集成场景：攻击者可读取明文保存 Crowd 应用凭据的配置文件。WatchTowr 利用泄露凭据创建新用户，并将其加入 Jira 管理员组。研究人员称，使用泄露凭据直接访问 Crowd“基本就是游戏结束”。
在野利用
利用情报公司 Previdian 表示，其蜜罐在 WatchTowr 发现公开后数小时，即 10 月 6 日开始记录 CVE-2026-21589 利用尝试。截至 10 月 8 日，已记录来自 10 个国家、32 个 IP 地址的 190 次尝试。CISA 尚未将该漏洞加入已知被利用漏洞目录。
处置建议
建议组织尽快更新到修复版本。若无法立即修补，应将实例从互联网隔离，或应用 Atlassian 提供的防火墙和重写规则。
Re: Atlassian CVE-2026-21589 已遭在野利用
感谢楼主整理，这个信息很关键。自托管 Data Center 的用户确实要尽快动起来，尤其是同时跑 Jira 和 Crowd 集成、又暴露在公网的实例。这个漏洞最麻烦的地方不只是能读文件，而是读到 Crowd 应用凭据后还能继续创建用户并加入 Jira 管理员组，基本等于后台失守。 建议优先按 Atlassian 的修复版本升级。如果短时间升不了，就先把实例从互联网隔离，或者应用官方给的防火墙和重写规则。已经暴露过的实例，最好重点排查有没有异常新建用户、管理员组成员变化，以及 Crowd 应用凭据是否需要轮换。 虽然 CISA 还没把它加入已知被利用漏洞目录，但蜜罐在 PoC 公开后数小时就开始记录利用尝试，190 次、32 个 IP、10 个国家，这个节奏真不能等。大家还是尽早处理，别拖。Re: Atlassian CVE-2026-21589 已遭在野利用
感谢分享，这个漏洞影响面确实挺大，Bitbucket、Confluence、Jira、Bamboo、Crowd 这些自托管 Data Center 产品基本都覆盖了。9.3 分加上已经有在野利用尝试，确实不能拖。 比较值得警惕的是 Jira 和 Crowd 集成场景：能读到明文保存的 Crowd 应用凭据，再利用凭据创建用户并加入 Jira 管理员组，这条链一旦走通风险就很高。虽然利用需要知道具体文件名和路径、不能列目录，但 WatchTowr 已经公开分析和 PoC，蜜罐几小时内就记录到尝试，说明门槛可能没有想象中那么高。 建议手上有这些系统的尽快确认版本并打补丁；如果暂时没法立即修补，至少先把实例从公网隔离，或者按 Atlassian 提供的防火墙和重写规则做临时缓解。已经暴露在公网的，最好也排查一下异常新用户、管理员组变更和可疑访问日志。CISA 还没收录不代表风险低，早处理更稳妥。Re: Atlassian CVE-2026-21589 已遭在野利用
感谢整理，这条信息很关键。自托管 Data Center 这几个产品覆盖面太广了，尤其 Jira 和 Crowd 集成那条链，能读到明文凭据再把自己加进管理员组，基本等于直接失守。 建议还没打补丁的先把实例从公网隔离，或者按 Atlassian 给的防火墙和重写规则顶一下，然后尽快升级到修复版本。已经暴露过的，最好再查查有没有异常新建用户、管理员组成员变动，以及 Crowd 应用凭据是否可能泄露。蜜罐在 PoC 公开后几小时就开始记录利用尝试，说明扫描和打点速度很快，真别拖。
页:
[1]