Aktívan kihasznált, hitelesítést nem igénylő tetszőleges fájlhozzáférés az Atlassian Data Center termékekben (CVE-2026-21589)

Mi történt

A CVE-2026-21589 egy tetszőleges fájlhozzáférést lehetővé tevő hiba az Atlassian Data Center több termékének webalkalmazás-gyökerében. Egy hitelesítést nem igénylő, távoli támadó egy adott fájlt tud elolvasni, de előre ismernie kell annak pontos nevét és elérési útját; a hiba nem teszi lehetővé a könyvtárak listázását vagy a fájlok felsorolását. A CVSS 4.0 értékelés 9,3-as kritikus pontszámot ad a hibára: hálózaton keresztül elérhető, alacsony a támadási komplexitása, sem jogosultságot, sem felhasználói beavatkozást nem igényel, a sebezhető rendszerre gyakorolt bizalmassági hatása magas, a további rendszerekre gyakorolt hatása pedig szintén magas. Azokban a konfigurációkban, ahol érzékeny fájlok találhatók a webalkalmazás gyökerében, ez különösen súlyos következményekkel járhat.

A CISA 2026. október 15-én vette fel a hibát a KEV-katalógusba, és kihasználtként tartja nyilván. A CISA SSVC az aktív kihasználást rögzíti, az ENISA EUVD pedig 2026. október 15-e óta jegyzi a kihasználást. A CVE-rekord nem ír le konkrét kihasználási kampányt.

Kit érint

Az érintett termékek az alábbiak Data Center-telepítései: Bitbucket, Confluence, Crowd, Jira Software, Jira Service Management, Bamboo, Crucible és Fisheye. Ezek önállóan üzemeltetett rendszerek együttműködésre, kódtárolásra, CI/CD-re, identitás- és szolgáltatáskezelésre; gyakran vállalati környezetben futnak, és esetenként közvetlenül elérhetők az internet felől.

A CVE-rekord az összes többi verziót érintettként tartja nyilván; az ismert bevezetési pontok a következők: Bitbucket Data Center a 4.6.0 verziótól; Confluence Data Center az 5.10.0 verziótól; Crowd Data Center a 2.11.0 verziótól; Jira Software Data Center a 7.1.0 verziótól; Jira Service Management Data Center a 3.1.0 verziótól; Bamboo Data Center a 7.0.1 verziótól. A Crucible és a Fisheye esetében a rekord nem ad meg bevezetési tartományt.

Mit kell most tenni

A CVE-rekord nem sorol fel elérhető javítást a CVE-2026-21589-hez, ezért ne várja meg a javított kiadást, mielőtt cselekszik. A CISA KEV-katalógusban megadott határidő 2026. október 18.

1. Mérje fel az összes érintett Data Center-példányt, beleértve a teszt-, az előkészítő és a katasztrófa-helyreállítási környezeteket is, és rögzítse, hogy az egyes példányok elérhetők-e az internet felől.
2. Ahol lehetséges, szüntesse meg az érintett példányok közvetlen internetes elérhetőségét, vagy helyezze őket VPN vagy identitásalapú proxy mögé, szigorú hálózati korlátozásokkal.
3. Kövesse a CISA KEV-katalógusban előírt intézkedést: alkalmazza a gyártói utasításokat, amint közzéteszik őket, kövesse a BOD 26-04 szerinti priorizálási és forenzikus triázs-útmutatást, és hagyjon fel a termék használatával, ha nem állnak rendelkezésre kockázatcsökkentő intézkedések.
4. Figyelje a jogosulatlan fájlhozzáférésre utaló jeleket, amíg javítás vagy gyártói kerülő megoldás nem áll rendelkezésre.

Hogyan észlelhető

A CVE-rekord nem ad meg kompromittálódásra utaló jeleket. Mivel a kihasználáshoz a támadónak egy ismert fájl elérési útját kell lekérnie, vizsgálja át a webkiszolgáló hozzáférési naplóit: keressen olyan, hitelesítést nem igénylő kéréseket, amelyek az alkalmazás gyökerében lévő fájlokra irányulnak, és nem részei a szokásos oldal- vagy statikus erőforrás-betöltéseknek, különösen váratlan forrásokból. Ha a Data Center-példányok SSO mögött üzemelnek, vizsgálja meg azokat a fájl-lekéréseket, amelyek nem estek át a szokásos hitelesítésen.

A javításon túl

Olyan, hitelesítést nem igénylő adathozzáférésről van szó, amely gyakran nagy értékű üzleti adatokat tároló rendszereket érint, és amelynek kihasználását a CISA, a CISA SSVC és az ENISA már rögzítette. A Menedzselt kiberbiztonsági felügyelet (MDR) figyelemmel kísérheti a kompromittálódást követő további tevékenységeket, egy incidenskezelési keretszerződés pedig lerövidíti a vizsgálati időt, ha bizonyíték kerül elő. Mivel a hiba nem igényel hitelesítő adatokat és felhasználói beavatkozást, a Virtuális CISO szolgáltatás segíthet újraértékelni, hogy mely Data Center-példányoknak kell egyáltalán az internet felől elérhetőnek lenniük.