CVE-2026-21589 Atlassian任意文件访问修复

资讯专家

漏洞概要

Atlassian 已发布补丁，修复影响 8 款产品所有版本的一个严重漏洞。漏洞编号 CVE-2026-21589，CVSS 评分 9.3，属于任意文件访问问题。未认证攻击者可利用该漏洞访问 Web 应用根目录中的特定文件；利用前需要知道目标文件的准确名称和路径，漏洞本身不允许攻击者枚举或列出目录内容。Atlassian 提醒，在某些配置中可能存在敏感文件，从而提高风险。

受影响产品

所有版本的以下产品受影响：Bitbucket Data Center、Bamboo Data Center、Crowd Data Center、Crucible、Confluence Data Center、Fisheye、Jira Service Management Data Center、Jira Software Data Center。

修复版本

Bitbucket Data Center：9.4.26、10.2.8、10.5.1
Bamboo Data Center：10.2.24、12.1.12
Confluence Data Center：9.2.26、10.2.19
Crowd Data Center：6.3.7、7.0.3、7.1.7、7.2.4
Crucible：4.9.15
Fisheye：4.9.15
Jira Service Management Data Center：5.12.40、10.3.26、11.3.12
Jira Software Data Center：9.12.40、10.3.26、11.3.12

处置建议

自托管部署应尽快安装补丁；无法立即修复的实例，建议先断开与互联网的连接。可公网访问的实例，包括启用了用户认证的实例，应限制外部网络访问，直到完成处置。Atlassian 公告还列出了临时缓解措施。无法立即打补丁时，可按厂商指南部署 WAF 规则以拦截利用尝试。

风险提示

Atlassian 与 WatchTowr 均表示，目前没有证据表明 CVE-2026-21589 已被在野利用。WatchTowr 同时指出，勒索软件组织和 APT 过去曾利用这类漏洞，CISA KEV 列表中目前有 8 个 Atlassian 安全漏洞。WatchTowr 首席威胁情报专家 Yordan Ganchev 表示，通过 Crowd 启用 SSO 的组织应格外谨慎：认证信息以明文存储在可预测且已知的路径中，可被轻易提取；攻击者可借此伪造管理员用户，并在 Crowd 端点可远程访问时获得访问权限。运行上述任一受影响产品的本地部署组织应立即打补丁；不能立即打补丁的，应遵循厂商指南部署 WAF 规则阻止利用尝试。