Atlassian数据中心软件曝出一个新披露的严重漏洞，其影响范围异常广泛，涉及该公司企业产品组合中的八款核心产品。
该漏洞编号为CVE-2026-21589，严重程度评分为9.3（严重级别），属于任意文件访问漏洞。未经登录认证的攻击者可借此读取本不应被访问的Web应用根目录文件，并可能利用这些文件实施恶意行为。
Atlassian在安全公告中表示，受影响的产品需要“立即关注”，建议客户升级至最新修复版本。该公司称，目前尚未在其云端产品中发现被利用的证据，云端产品已完成修复。
这一漏洞令人担忧之处在于，它不需要身份验证或用户交互即可被利用，且影响范围覆盖了众多组织用于开发、协作和IT运营的大量Atlassian产品。
Info-Tech Research Group技术顾问Erik Avakian表示：“表面上看，任意文件访问听起来不如远程代码执行那么严重，但真正的问题在于攻击者可能借此获取到什么。业务风险不仅仅是有人读取了一个文件，而是这些信息可能让攻击者接下来做什么。”
该任意文件访问漏洞存在于Bamboo数据中心版、Bitbucket数据中心版、Confluence数据中心版、Crowd数据中心版、Crucible、Fisheye、Jira Service Management数据中心版以及Jira Software数据中心版的所有版本中。
该漏洞允许未经认证的攻击者访问Web应用根目录——这是Web服务器上包含其核心结构和必需文件的基础文件夹。在某些配置环境下，该目录可能存放有敏感文件，从而增加风险。
Avakian解释道：“如果该位置存在敏感文件，泄露的信息可能有助于发起范围更广的攻击。”
Atlassian表示，攻击者可利用路径穿越技术，访问Web根目录之外的受限文件和目录。但存在一个缓解因素：攻击者必须已经知道目标文件的确切名称和路径，且无法执行目录列表操作。
对于暂时无法完成补丁更新的用户，公司建议将受影响实例从互联网上移除，并限制可通过互联网访问的实例对外部网络的访问权限，这其中也包括需要身份验证的实例。安全研究员Dickson指出，这是因为“面对未经身份验证的漏洞，登录页面毫无作用”。
Atlassian提出了三种临时缓解措施以阻止攻击者：
使用上述八款产品中任一产品的客户，可以在Web应用防火墙（WAF）或代理层应用相应规则。
另一种选择是，针对Bamboo、Confluence、Crowd、Jira Software和Jira Service Management，在数据中心集群的每个节点上使用Tomcat RewriteValve规则来阻止请求，随后应关闭并重启每个节点。而Bitbucket用户可以备份其实例，在urlrewrite.xml中编写规则，将其应用于每个节点、镜像节点及镜像集群节点，然后重启。
但Atlassian强调，这些缓解措施“作用有限，不能替代对实例的正式修复”，并表示公司无法确认某个具体企业的实例是否已受到该漏洞影响。公司建议：“请联系你们本地的安全团队，检查所有受影响实例是否存在被入侵的痕迹。”
Dickson指出：“供应商无法告诉你是否遭到过访问，只有你自己的日志才能说明这一点。”
受影响产品清单格外值得关注，Dickson指出：Bamboo负责软件构建与发布；Bitbucket存储源代码；Crowd负责身份管理和单点登录；Jira和Confluence则存储着公司的计划、服务台工单和文档资料。
他表示：“这些都是企业的核心命脉，攻击者深知这一点。”而要访问这些系统，攻击者既不需要登录，也不需要用户点击，更不需要任何特殊条件。
补丁发布路径也解释了为何部分客户的更新进度滞后：Dickson指出，Atlassian已不再提供二进制补丁，因此修复该漏洞意味着需要迁移到新的维护版本，这是一个升级项目而非快速修复，每一个“暂时无法更新”的决定都是在接受风险。
但这一漏洞最值得关注的细节，可能在于其评分向量，Dickson指出。该漏洞被评定为对存在漏洞的服务器自身的完整性和可用性没有影响，但对后续系统的机密性、完整性和可用性影响程度为“高”。换句话说，Jira或Confluence服务器本身安然无损，但其文件所能解锁的系统可能就不会那么幸运。
本质上，Dickson将其形容为“一个窃贼什么都没拿，只偷走了门前的钥匙串”。
成功利用该漏洞需要目标文件的确切名称和路径，且仅限于Web应用根目录范围内，无法执行目录列表操作。他表示：“这听起来门槛很高”，但“实际上比看起来要低得多”。
他指出，任何人都可以下载这些产品，从而准确了解文件存放的位置，而且攻击者同样掌握着产品的安装指南。
此外，若配置环境中存在敏感文件，企业面临的风险会进一步增加。Dickson指出：“经过多年的生产运行，Web根目录中可能积累了配置文件、备份文件以及没人记得放在那里的凭证信息。一个可读取的秘密信息，就可能成为更大规模攻击的第一步。”
总而言之，他表示，该漏洞“仅仅”能读取文件，但它所读取到的文件可能会打开通往其他一切系统的大门。“尽快打补丁，如果今天无法完成修复，就今天把它从互联网上断开。”他还建议，筛查并搜索访问日志中是否存在已公开的路径穿越特征模式，并对每一行日志进行解码。如果发现命中记录，应假定相关文件已被读取。在此基础上，应轮换更换Web根目录中可能存放过的所有凭证、令牌和密钥。
Info-Tech的Avakian建议，展望未来，企业应着力尽可能减少外部暴露面，并使用VPN、可信网络、网络分段或其他控制措施来限制访问。如怀疑存在信息泄露，应及时轮换更换敏感凭证或密钥。
不过他也指出：“这些只是补偿性控制措施，它们固然能为企业争取时间，但不应被视为获取经过测试验证的修复版本的替代方案。”
本文最初发布于CSOonline。
Q&A
Q1：CVE-2026-21589漏洞具体影响哪些Atlassian产品？
A：该漏洞影响Bamboo数据中心版、Bitbucket数据中心版、Confluence数据中心版、Crowd数据中心版、Crucible、Fisheye、Jira Service Management数据中心版以及Jira Software数据中心版等八款产品的所有版本。
Q2：这个漏洞需要攻击者登录才能利用吗？
A：不需要。该漏洞不要求身份验证或用户交互，未经登录的攻击者就能利用它读取Web应用根目录中本不该被访问的文件，这也是其被评为严重级别的重要原因。
Q3：如果暂时无法打补丁，企业该怎么办？
A：Atlassian建议将受影响实例从互联网上移除，并限制其对外部网络的访问。此外还可通过在WAF或代理层设置规则、应用Tomcat RewriteValve规则等临时措施缓解风险，但这些措施不能替代正式补丁修复。
