Kwetsbaarheid in Atlassian Data Center maakt serverbestanden toegankelijk; misbruik in het wild

Wat is er gebeurd

Atlassian heeft een kwetsbaarheid openbaar gemaakt, met kenmerk CVE-2026-21589, waarmee een aanvaller op afstand zonder inlog afzonderlijke bestanden kan ophalen die zijn opgeslagen in de hoofdmap van de webapplicatie van de getroffen producten. De zwakte is geclassificeerd als CWE-552, bestanden of mappen die toegankelijk zijn voor externe partijen.

Er zijn beperkingen. De aanvaller moet de exacte naam en locatie van een bestand al kennen om het op te halen, en de kwetsbaarheid kan niet worden gebruikt om mappen te doorbladeren of weer te geven. Atlassian merkt echter op dat in sommige configuraties gevoelige bestanden op die locatie kunnen staan, wat de impact ernstig kan maken.

De kwetsbaarheid wordt actief misbruikt en CISA heeft haar op 2026-10-15 toegevoegd aan de catalogus Known Exploited Vulnerabilities. De CVE is gepubliceerd op 2026-10-05.

Wie is getroffen

De kwetsbaarheid treft meerdere zelf beheerde Atlassian-producten. Opgeloste versies, met tussen haakjes de eerste getroffen release: Bitbucket Data Center 9.4.26, 10.2.8 en 10.5.1 (vanaf 4.6.0); Confluence Data Center 9.2.26 en 10.2.19 (vanaf 5.10.0); Crowd Data Center 6.3.7, 7.0.3, 7.1.7 en 7.2.4 (vanaf 2.11.0); Jira Software Data Center 9.12.40, 10.3.26 en 11.3.12 (vanaf 7.1.0); Jira Service Management Data Center 5.12.40, 10.3.26 en 11.3.12 (vanaf 3.1.0); Bamboo Data Center 10.2.24 en 12.1.12 (vanaf 7.0.1); Crucible en Fisheye 4.9.15.

Bitbucket Server-releases van 4.6.0 tot en met 8.14.6 en Jira Service Desk Data Center van 3.1.0 tot en met 4.13.27 worden eveneens als getroffen vermeld.

Hoe ernstig is het

Atlassian beoordeelt de kwetsbaarheid met 9.3 volgens CVSS versie 4.0, wat kritiek is. Er is geen authenticatie of gebruikersinteractie nodig en de aanval werkt via het netwerk.

Het actieve misbruik en de vermelding in de KEV-catalogus verhogen de urgentie verder. De EPSS-score, een schatting van de kans op misbruik, bedraagt 0.99664. De noodzaak om de exacte bestandspaden te kennen beperkt wat een aanvaller kan verkrijgen, maar blootgestelde gevoelige bestanden kunnen een grote impact hebben. Gebruik door ransomware is niet bekend.

Wat moet u doen

1. 1Werk elk getroffen Atlassian-product bij naar een van de opgeloste versies die voor de betreffende releaselijn zijn vermeld, zoals Jira Software Data Center 9.12.40, 10.3.26 of 11.3.12.
2. 2Volg de Atlassian-adviezen voor elk product en pas de mitigaties van de leverancier toe wanneer een update niet direct kan worden geïnstalleerd.
3. 3Beoordeel welke getroffen instanties vanaf internet bereikbaar zijn en geef hieraan prioriteit.
4. 4Federale instanties moeten de door CISA vereiste maatregel uiterlijk 2026-10-18 voltooien, inclusief de richtlijnen voor forensische triage, of het product niet meer gebruiken als mitigaties niet beschikbaar zijn.

Kerngegevens