CISA вносит в KEV-каталог уязвимость обхода путей в восьми продуктах Atlassian

Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило уязвимость CVE-2026-21589 в каталог Known Exploited Vulnerabilities (KEV, перечень уязвимостей с подтверждённой эксплуатацией). Решение опирается на свидетельства реальных атак. Проблема затрагивает восемь продуктов Atlassian для корпоративных развёртываний: Bitbucket Data Center, Confluence Data Center, Jira Software Data Center, Jira Service Management Data Center, Bamboo Data Center, Crowd Data Center, а также Crucible и Fisheye. Злоумышленник без учётной записи получает доступ к отдельным файлам в корневом каталоге веб-приложения.

Уязвимость CVE-2026-21589 в восьми продуктах Atlassian

Ошибка относится к классу обхода путей (path traversal, выход за пределы разрешённого каталога). В запрос подставляется последовательность из двух точек, и сервер отдаёт файл, который лежит вне каталога приложения. Для успешной атаки нужно заранее знать точное имя файла и его путь. Перечислить содержимое каталогов уязвимость не позволяет, так что перебор вслепую результата не даёт.

Atlassian оценила проблему в 9.3 балла по шкале CVSS 4.0 и присвоила уровень Critical. Атака идёт по сети, учётные данные и действия пользователя не нужны. Риск при этом зависит от конфигурации. Если в корневом каталоге приложения лежат файлы с ключами, паролями или параметрами подключения к базам данных, утечка даже одного из них открывает путь к дальнейшим атакам на инфраструктуру.

Облачные сервисы Atlassian уже закрыты. Следов эксплуатации там вендор не нашёл, и клиентам облака ничего делать не нужно. Продукты линейки Data Center компании разворачивают на собственных серверах, поэтому за их защиту отвечает сама организация. Сборки, вышедшие из окна поддержки, тоже могут оставаться уязвимыми, так что Atlassian советует перейти на поддерживаемые версии.

Кого затрагивает уязвимость

В Bitbucket Data Center ошибка появилась начиная с версии 4.6.0, в Confluence Data Center с 5.10.0, в Crowd Data Center с 2.11.0. Jira Software Data Center уязвима с 7.1.0, Jira Service Management Data Center с 3.1.0, Bamboo Data Center с 7.0.1. Все выпуски Crucible и Fisheye содержат ту же ошибку.

Исправленные версии

Bitbucket Data Center закрывают сборки 9.4.26, 10.2.8 и 10.5.1; Confluence Data Center - 9.2.26 и 10.2.19; Jira Software Data Center - 9.12.40, 10.3.26 и 11.3.12; Jira Service Management Data Center - 5.12.40, 10.3.26 и 11.3.12; Crowd Data Center - 6.3.7, 7.0.3, 7.1.7 и 7.2.4; Bamboo Data Center - 10.2.24 и 12.1.12; Crucible и Fisheye - 4.9.15.

Что делать до установки исправления

Пока обновление не установлено, Atlassian рекомендует убрать сервер из публичного доступа и ограничить внешние подключения, даже если вход по паролю включён. Дополнительно можно поставить правило на межсетевом экране прикладного уровня (WAF, Web Application Firewall). Оно блокирует адреса, в которых две точки стоят вплотную к обычной или обратной косой черте либо к двойному двоеточию. URL-кодированные варианты запроса правило тоже должно отсекать.

В Bitbucket фильтрацию прописывают в конфигурации переписывания адресов на каждом узле кластера и на зеркалах. Для Bamboo, Confluence, Crowd, Jira Software и Jira Service Management подойдёт механизм переписывания запросов в сервере приложений Tomcat. В Fisheye и Crucible остаётся только правило на межсетевом экране. Вендор предупреждает, что все эти меры временные и не заменяют установку исправленной сборки.

Каталог KEV собирает уязвимости, которые злоумышленники уже применяют на практике. Обход путей давно держится в списке типовых ошибок корпоративных веб-приложений, и новая запись подтверждает, что эта техника по-прежнему работает. Организациям, которые держат у себя продукты Atlassian уровня Data Center, обновление лучше не откладывать. До установки патча единственная страховка - ограничение сетевого доступа к серверам.

Уязвимость CVE-2026-21589 в восьми продуктах Atlassian

Кого затрагивает уязвимость

Исправленные версии

Что делать до установки исправления

Ссылки