Atlassian açığı, herkese açık kavram kanıtının ardından istismar ediliyor

Araştırmacıların teknik rapor ve herkese açık bir kavram kanıtı yayımlamasının ardından saldırganlar, kritik bir Atlassian dosya erişimi açığından yararlanmaya çalışıyor. Güvenlik şirketi Previdian, yayımdan sonraki iki saat içinde bal küpü ağında girişimler tespit ettiğini bildirdi.

CVE-2026-21589 olarak izlenen açık; Jira, Confluence ve Bitbucket'ın da aralarında bulunduğu sekiz Atlassian ürün ailesindeki, kendi sunucularında barındırılan kurulumları etkiliyor. Açık, dosyanın tam adını ve yolunu bilen kimlik doğrulaması yapmamış saldırganların uygulamanın web kök dizinindeki belirli dosyalara erişmesine imkân tanıyor.

watchTowr araştırmacıları Jira, Confluence ve Bitbucket'ta dosya okumayı doğruladı. Atlassian Crowd ile entegre bazı kurulumlarda saldırganlar, bir yapılandırma dosyasından açığa çıkan kimlik bilgilerini kullanarak Jira yöneticisi hesabı oluşturabilir. Bunun için Crowd'a erişilebilmesi ve uygulamanın yeterli izinlere sahip olması gerekiyor. Araştırmacılar, Crowd'a erişebilecek IP adreslerini kısıtlamanın istismarı zorlaştıracağını belirtti.

Previdian, üç IP adresinden girişimler gözlemlediğini ve herkese açık istismar ayrıntıları ile otomatik tarama şablonu Nuclei'nin kullanıma sunulmasıyla etkinliğin artmasını beklediğini söyledi. Şirketten Ryan Dewhurst, BleepingComputer'a bal küpü etkinliğinin watchTowr'ın araştırma ve kavram kanıtı yayımlamasından sonraki iki saat içinde başladığını söyledi.

Atlassian, kendi sunucularında barındırılan kurulumların yöneticilerine güvenlik güncellemelerini hızla uygulamalarını önerdi. Önerilen önlemler arasında dış ağ erişimini kısıtlamak ve dizin geçişi kalıplarını engelleyen güvenlik duvarı, vekil sunucu veya URL yeniden yazma kuralları kullanmak yer alıyor. watchTowr ayrıca yöneticilerin kurulumlarının savunmasız olup olmadığını kontrol etmesine yardımcı olacak bir tarayıcı yayımladı.