Atlassian CVE-2026-21589: opt produse Data Center afectate, PoC public și încercări de exploatare. Ce citește un atacator fără parolă

• Produse afectate, toate versiunile: Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible și Fisheye. Versiunile Cloud au fost deja corectate, iar clienții Cloud nu trebuie să facă nimic, potrivit avizului.
• Versiuni corectate: Bitbucket 9.4.26, 10.2.8 și 10.5.1; Confluence 9.2.26 și 10.2.19; Jira Software 9.12.40, 10.3.26 și 11.3.12; Jira Service Management 5.12.40, 10.3.26 și 11.3.12; Bamboo 10.2.24 și 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 și 7.2.4; Crucible și Fisheye 4.9.15.
• Mitigări oficiale, dacă nu poți actualiza: o regulă WAF sau proxy care blochează adresele ce conțin secvențe de traversare de cale, inclusiv în variante codificate; pentru Confluence, Jira, Bamboo și Crowd, activarea unei reguli de rescriere în Tomcat; pentru Bitbucket, o regulă de rescriere la nivelul aplicației. Atlassian recomandă și scoaterea din internet a instanțelor expuse până la aplicarea corecției sau a mitigării.
• Atlassian spune că nu poate confirma dacă instanțele clienților au fost afectate și oferă în aviz indicații de căutare în jurnalele de acces pentru clienții Data Center. Pentru Cloud, spune că investigația nu a găsit dovezi de exploatare.
• Un exploit demonstrativ a fost publicat de watchTowr după aviz, potrivit BleepingComputer. Honeypot-ul firmei Previdian a înregistrat tentative de exploatare în aproximativ două ore de la publicarea raportului watchTowr. La data verificării, vulnerabilitatea nu apărea în catalogul KEV al CISA, în versiunea fișierului pe care am putut-o citi.

Citirea unui fișier din rădăcina web nu este în sine execuție de cod. Contează ce fișiere pot conține: configurații, referințe, chei sau date de conectare. Avizul spune că riscul crește în configurațiile care conțin fișiere sensibile.

Potrivit BleepingComputer, cercetători spun că în implementările Jira integrate cu Crowd, credențialele de aplicație expuse ar putea permite crearea unui cont de administrator Jira prin API-ul Crowd, dacă Crowd este accesibil și permisiunile sunt suficiente. Este o afirmație a cercetătorilor, nu un fapt din aviz, și depinde de configurație.

• Cât de răspândită este exploatarea, cine o face și ce a obținut. Sursele descriu tentative, nu compromiteri confirmate.
• Câte instanțe sunt expuse la internet. Nu am găsit o cifră cu sursă clară și nu reproducem una.
• Dacă produsele Server, cele care nu mai primesc suport, sunt afectate fără corecție. O notă din înregistrarea CVE, citată într-un rezumat secundar, le marchează ca afectate fără versiune corectată. Atlassian a încheiat suportul pentru Server în februarie 2024, deci orice instanță Server rămasă trebuie migrată sau scoasă din funcțiune, nu așteptată.
• Detalii exacte de versiune. Surse terțe diferă în detalii de versiune față de aviz, de exemplu la Crowd. Folosește tabelul din avizul Atlassian.

• Inventar: găsește toate instanțele Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible și Fisheye self-hosted, inclusiv cele administrate de un furnizor și cele uitate într-o filială sau pe un server de test. Notează versiunea și dacă sunt accesibile din internet.
• Reduce expunerea imediat: scoate din internet instanțele care nu trebuie să fie publice sau restricționează accesul la adrese de încredere. Aplică regula de blocare din aviz dacă nu poți actualiza astăzi.
• Actualizează la versiunile corectate din tabel. Dacă ai Server, planifică migrarea.
• Verifică compromiterea: urmează indicațiile din aviz pentru căutarea în jurnalele de acces a cererilor cu secvențe de traversare, pe perioada dintre publicarea exploitului și momentul în care ai aplicat mitigarea.
• Rotește secretele care ar fi putut fi citite: parole ale bazei de date, jetoane de API, secrete SSO și chei de integrare stocate în configurațiile aplicației. Dacă instanța a fost expusă și neprotejată, tratează-le ca fiind compromise. Aceasta este o măsură prudentă a noastră, nu o cerință din aviz.
• Verifică Crowd și integrările: dacă Jira sau Confluence folosesc Crowd, verifică conturile de administrator create recent și accesul la API-ul Crowd.
• Furnizori: dacă un terț găzduiește sau administrează aceste instrumente, cere în scris versiunea, data corecției, dacă interfața este expusă și rezultatul verificării jurnalelor.

Jira și Confluence conțin adesea tocmai ce nu ar trebui să fie public: documentație tehnică, scheme de rețea, tichete cu date personale și parole lăsate în pagini. Pentru entitățile esențiale și importante, NIS2 include gestionarea vulnerabilităților și securitatea lanțului de aprovizionare printre măsurile obligatorii. În România, directiva a fost transpusă prin OUG 155/2024, aprobată prin Legea 124/2025, cu DNSC drept autoritate.

Dacă verificarea găsește o compromitere într-un serviciu esențial, evaluează imediat dacă incidentul este semnificativ. Dacă da, se aplică termenele de 24 de ore pentru avertizarea timpurie și de 72 de ore pentru raportul inițial, de la momentul în care ai luat cunoștință. Dacă sunt implicate date personale, evaluează separat notificarea GDPR.

Awarely Monitor poate urmări vulnerabilitățile exploatate din inventarul tău și poate semnala când o componentă expusă apare în catalogul KEV. Corecțiile, investigația și raportarea rămân ale organizației.