Atlassian cảnh báo lỗ hổng truy cập tệp nghiêm trọng trong sản phẩm datacenter
"Atlassian disclosed CVE-2026-21589, a critical arbitrary file access vulnerability affecting datacenter versions of Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible, and Fisheye. The flaw can let an unauthenticated attacker access specific files in the web application root directory if they know the exact filename and path; Atlassian released fixed versions and advised customers to patch promptly or restrict internet exposure until remediation is complete."
CVE-2026-21589 có thể dẫn đến lộ tệp nhạy cảm trên các hệ thống datacenter nếu bị khai thác đúng điều kiện. Ưu tiên vá ngay hoặc cô lập khỏi Internet để giảm nguy cơ.
Có thể ảnh hưởng đến tính sẵn sàng của các hệ thống cộng tác và ITSM nếu phải dừng dịch vụ để vá. Cần lên lịch bảo trì sớm và kiểm tra phạm vi ảnh hưởng trên từng môi trường.
Atlassian đã công bố CVE-2026-21589, một lỗ hổng truy cập tệp tùy ý mức nghiêm trọng ảnh hưởng đến các phiên bản datacenter của Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible và Fisheye. Theo hãng, kẻ tấn công không cần xác thực có thể truy cập một số tệp trong thư mục gốc của ứng dụng web nếu biết chính xác tên tệp và đường dẫn.
Atlassian cho biết rủi ro tăng lên trong một số cấu hình nếu có tệp nhạy cảm nằm trong khu vực bị ảnh hưởng. Tuy nhiên, lỗ hổng này không cho phép liệt kê nội dung thư mục, và việc khai thác đòi hỏi thông tin chính xác về tệp mục tiêu.
Hãng đã phát hành các phiên bản đã sửa lỗi và khuyến nghị khách hàng nâng cấp sớm trong một cửa sổ bảo trì phù hợp. Nếu chưa thể vá ngay, Atlassian khuyên ngắt các hệ thống khỏi Internet công cộng hoặc hạn chế truy cập từ mạng bên ngoài cho đến khi hoàn tất khắc phục. Thông báo cũng nêu các biện pháp giảm thiểu và hướng dẫn kiểm tra hệ thống có cần cập nhật hay không.
Các tổ chức đang dùng Atlassian Cloud không bị ảnh hưởng bởi sự cố này vì lỗi đã được xử lý ở phía dịch vụ SaaS.