Atlassian varnar för kritisk filåtkomstbrist i Jira, Confluence och Bitbucket

Atlassian varnar kunder för den kritiska sårbarheten CVE-2026-21589, som berör självhostade Data Center-produkter, däribland Confluence, Jira och Bitbucket.

Bristerna gör att en obehörig angripare kan komma åt specifika filer i en berörd applikations webbrotkatalog. För att utnyttja sårbarheten måste angriparen redan känna till filens exakta namn och sökväg. Atlassian uppger att sårbarheten inte gör det möjligt att söka igenom eller lista kataloginnehåll.

Problemet berör produktversioner som släppts före de korrigerade versionerna i Atlassians säkerhetsmeddelande. Versionsnumren finns inte med i det tillhandahållna källmaterialet. Atlassian uppmanar administratörer av självhostade instanser att installera säkerhetsuppdateringarna omedelbart. Kunder med molntjänsten behöver inte göra något, eftersom Atlassian har uppdaterat produkterna automatiskt.

Om uppdatering inte är möjlig omedelbart rekommenderar Atlassian att begränsa extern nätverksåtkomst, även för internetvända instanser som kräver autentisering. Tillfälliga skyddsåtgärder omfattar brandväggs- eller proxyregler för webbapplikationer som blockerar angivna sökvägsmönster, Tomcat RewriteValve-regler för Confluence, JSM, Jira, Bamboo och Crowd, eller en URL-omskrivningsregel för Bitbucket. Ändringarna måste omfatta varje klusternod, inklusive Bitbucket-speglar och spegelnoder.

Atlassian uppger att företaget för närvarande inte har belägg för att CVE-2026-21589 utnyttjas i attacker. Företaget uppmanar administratörer att granska åtkomstloggar efter sökvägsmönstren i bulletinen. Atlassian säger att företaget inte kan avgöra om enskilda kundinstanser har komprometterats och uppmanar kunder med självhostade instanser att kontakta sitt lokala säkerhetsteam.