【 資安警訊 】- Atlassian 揭露影響 8 款主要應用系統的任意檔案讀取漏洞，CVSS 達 9.3

 

發布編號：OIS-CTI-2026-10-001

情資來源：iThome

 

事件類型：漏洞警訊公告

 

內容說明：

 

軟體開發廠商 Atlassian 公布重大漏洞 CVE-2026-21589，未通過身分驗證的攻擊者可直接存取應用系統根目錄的特定檔案，並呼籲用戶若無法及時套用更新或採取緩解措施，應將受影響系統暫時離線。

 

Atlassian 於 10 月 5 日發布資安公告，揭露重大等級的任意檔案讀取漏洞 CVE-2026-21589。未通過身分驗證的攻擊者可直接存取應用系統根目錄的特定檔案，CVSS v4.0 嚴重程度評為 9.3 分。

 

受影響的產品涵蓋所有版本的 Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible 以及 Fisheye。該公司已推出新版軟體修補，自行架設的用戶應儘速套用更新。

 

值得留意的是，此漏洞無法讓攻擊者列出所有資料夾的內容，攻擊者須事先掌握目標檔案的完整名稱與路徑才能利用；不過在部分組態配置下，系統中可能存在敏感檔案，因而增加漏洞曝露的風險。

 

雖然利用弱點存在必要條件，但 Atlassian 強調，若用戶無法及時部署相關更新，應採取臨時緩解措施，例如在網頁應用程式防火牆（WAF）加入正規表達式過濾、使用 Tomcat 的 RewriteValve 元件封鎖特定請求，以及在 urlrewrite.xml 新增特定規則。若用戶既不能安裝更新，也不能導入緩解措施，相關應用系統的執行個體（instance）應暫時不要連接網際網路。

 

 

影響平台：

 

受影響的產品包括 Atlassian 旗下（自行架設之版本，所有版本皆受影響）

 

●       Bitbucket Data Center

●       Confluence Data Center

●       Jira Service Management Data Center

●       Jira Software Data Center

●       Bamboo Data Center

●       Crowd Data Center

●       Crucible

●       Fisheye

         

建議措施：

 

自行架設上述產品的用戶，請依 Atlassian 原廠公告儘速更新至已修補的版本。無法及時更新時，可採取原廠提供的臨時緩解措施：在 WAF 加入正規表達式過濾、使用 Tomcat 的 RewriteValve 元件封鎖特定請求，或在 urlrewrite.xml 新增特定規則，具體規則內容請參閱原廠公告。若更新與緩解措施都無法實施，應讓相關執行個體暫時不要連接網際網路。此外，建議清查應用系統根目錄是否存放組態檔或其他敏感檔案，降低漏洞被利用時的曝露風險。