【误差通告】Atlassian多款产品恣意文件读取误差（CVE-2026-21589)

宣布时间 2026-10-08

一、误差概述


尊龙凯时 - 人生就是搏!


Atlassian是一家企业协作与软件开发工具提供商 ，旗下产品涵盖Jira、Confluence、Bitbucket、Bamboo、Crowd等。Jira主要用于项目管理和问题跟踪 ，Confluence用于团队知识管理与文档协作 ，Bitbucket提供代码托管和版本管理 ，Bamboo支持一连集成与安排 ，Crowd提供集中身份认证与用户管理 ，普遍应用于企业研发、运维及协作管理场景。


2026年10月8日 ，尊龙凯官网入口清静应急响应中心（VSRC）监测到Atlassian多款产品恣意文件读取误差。由于应用对特定文件会见路径的限制保存缺陷 ，未经身份认证的远程攻击者可通过结构包括特殊路径序列的请求 ，会见Web应用根目录内的指定文件。误差使用需要提前获知目的文件的准确名称及路径 ，无法直接枚举目录内容。在特定安排情形下 ，攻击者可能读取包括敏感信息的文件 ，造成信息泄露 ，并对营业系统清静组成严重威胁。



二、影响规模



Bitbucket Data Center 9.4.x < 9.4.26

Bitbucket Data Center 10.2.x < 10.2.8

Bitbucket Data Center 10.5.x < 10.5.1

Confluence Data Center 9.2.x < 9.2.26

Confluence Data Center 10.2.x < 10.2.19

Jira Service Management Data Center 5.12.x < 5.12.40

Jira Service Management Data Center 10.3.x < 10.3.26

Jira Service Management Data Center 11.3.x < 11.3.12

Jira Software Data Center 9.12.x < 9.12.40

Jira Software Data Center 10.3.x < 10.3.26

Jira Software Data Center 11.3.x < 11.3.12

Bamboo Data Center 10.2.x < 10.2.24

Bamboo Data Center 12.1.x < 12.1.12

Crowd Data Center 6.3.x < 6.3.7

Crowd Data Center 7.0.x < 7.0.3

Crowd Data Center 7.1.x < 7.1.7

Crowd Data Center 7.2.x < 7.2.4

Crucible < 4.9.15

Fisheye < 4.9.15


Atlassian官方指出 ，该误差影响Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible及Fisheye等产品。上述规模列出了已宣布修复版本的对应分支 ，其他未列出的版天职支不代表不受误差影响。建议受影响用户凭证现实产品版本 ，实时升级至对应的官方修复版本或更新版本。



三、清静步伐



3.1 升级版本


Bitbucket Data Center 9.4.x >= 9.4.26

Bitbucket Data Center 10.2.x >= 10.2.8

Bitbucket Data Center 10.5.x >= 10.5.1

Confluence Data Center 9.2.x >= 9.2.26

Confluence Data Center 10.2.x >= 10.2.19

Jira Service Management Data Center 5.12.x >= 5.12.40

Jira Service Management Data Center 10.3.x >= 10.3.26

Jira Service Management Data Center 11.3.x >= 11.3.12

Jira Software Data Center 9.12.x >= 9.12.40

Jira Software Data Center 10.3.x >= 10.3.26

Jira Software Data Center 11.3.x >= 11.3.12

Bamboo Data Center 10.2.x >= 10.2.24

Bamboo Data Center 12.1.x >= 12.1.12

Crowd Data Center 6.3.x >= 6.3.7

Crowd Data Center 7.0.x >= 7.0.3

Crowd Data Center 7.1.x >= 7.1.7

Crowd Data Center 7.2.x >= 7.2.4

Crucible >= 4.9.15

Fisheye >= 4.9.15


下载链接：

https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html/


3.2 暂时步伐


关于暂时无法完成升级的系统 ，建议优先限制相关服务的公网会见 ，降低未经身份认证的远程攻击危害。同时 ，可凭证厂商提供的暂时缓解步伐 ，在Web应用防火墙（WAF）或反向代理层设置请求过滤规则 ，阻挡包括路径遍历特征及其URL编码形式的异常请求 ；Confluence、Jira、Jira Service Management、Bamboo和Crowd可通过Tomcat RewriteValve设置请求阻挡规则 ，Bitbucket可通过修改urlrewrite.xml文件增添会见限制。实验前应做好设置备份 ，确保集群所有节点及Bitbucket镜像节点同步应用缓解步伐。别的 ，应增强Web会见日志审计 ，重点排查异常路径会见及敏感文件读取行为 ，实时发明潜在的误差使用运动。


3.3 通用建议


按期更新系统补丁 ，镌汰系统误差 ，提升服务器的清静性。

增强系统和网络的会见控制 ，修改防火墙战略 ，关闭非须要的应用端口或服务 ，镌汰将危险服务（如SSH、RDP等）袒露到公网 ，镌汰攻击面。

使用企业级清静产品 ，提升企业的网络清静性能。

增强系统用户和权限管理 ，启用多因素认证机制和最小权限原则 ，用户和软件权限应坚持在最低限度。

启用强密码战略并设置为按期修改。


3.4 参考链接


https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html

https://github.com/watchtowrlabs/watchTowr-vs-Atlassian-CVE-2026-21589