Atlassian Data Center 8製品で未認証のファイル読み取り（KEV・Jira / Confluence / Bitbucket ほか）

High（CVSS 7.5）に分類されるAtlassian Atlassian Data Center（Jira Software / Jira Service Management / Confluence / Bitbucket / Bamboo / Crowd / Crucible / Fisheye）の脆弱性です。**Atlassian の自社運用版（Data Center）8製品に、認証なしで Web アプリのルート配下のファイルを読まれる欠陥がある。** 対象は Jira Software・Jira Service Management・Confluence・Bitbucket・Bamboo・Crowd の各 Data Center と、Crucible・Fisheye。Atlassian のアドバイザリ（2026年10月5日公開）によれば、攻撃者はファイルの正確な名前とパスを知っている必要があり、ディレクトリの一覧は取れない。Atlassian Cloud は修正済みで、利用者側の対応は要らない。 **評価値は2つある。** Atlassian（CNA）の CVSS 4.0 は **9.3 Critical**（後続システムへの影響を高く見ている）、NVD 自身の CVSS 3.1 は **7.5 High**（AV:N/AC:L/PR:N/UI:N・機密性のみ High）。 **悪用は確認済み。** 公開の翌日（10月6日）に watchTowr が技術解説を出し、Jira の `crowd.properties` から Crowd の認証情報を読めば Jira の管理者権限に至る道があると示した。VulnCheck は10月7日に Bamboo Data Center を狙う悪用を観測したとして自社の KEV に載せた。CISA は2026年10月15日に KEV へ収載し、是正期限を **2026年10月18日**（収載から3日）とした。ランサムウェアでの利用は「不明」。

**修正版に上げる。** Atlassian が示す修正版は製品ごとに次のとおり（いずれも「以降」）。 - **Jira Software Data Center**: 9.12.40 / 10.3.26 / 11.3.12 - **Jira Service Management Data Center**: 5.12.40 / 10.3.26 / 11.3.12 - **Confluence Data Center**: 9.2.26 / 10.2.19 - **Bitbucket Data Center**: 9.4.26 / 10.2.8 / 10.5.1 - **Bamboo Data Center**: 10.2.24 / 12.1.12 - **Crowd Data Center**: 6.3.7 / 7.0.3 / 7.1.7 / 7.2.4 - **Crucible / Fisheye**: 4.9.15 Atlassian は「上記以前の全ての版が影響を受け、サポート切れの版も影響を受け得る」としており、修正版の無い系列は修正のある LTS 以降へ移る。 **すぐ上げられない場合**、Atlassian はまずインターネットから切り離すことを勧め、そのうえで次の一時的な緩和策を示している（いずれも「限定的で、更新の代わりにはならない」）。（1）WAF やリバースプロキシで、`..` が `/`・`\`・`::` に隣接する URL（URL エンコード形を含む）を遮断する、（2）Bitbucket 以外は Tomcat の RewriteValve を `server.xml` に足し、配布されている `rewrite.config` を `WEB-INF` に置く、（3）Bitbucket は `urlrewrite.xml` の先頭に遮断ルールを足す（ミラーを含む全ノード）。いずれも適用後に再起動が要る。 **読まれた可能性を前提に動く。** 悪用では設定ファイルの認証情報が狙われている。更新後も、Crowd の連携パスワード、データベース接続情報、API トークンなど、Web ルート配下から読めた可能性のある秘密は入れ替える。 **完了条件**は、（1）全ての Data Center 製品が上記の修正版以上であること、（2）それまでの間に外部へ公開していた場合は、設定ファイル内の認証情報を入れ替えたこと、の2点である。

Atlassian Atlassian Data Center（Jira Software / Jira Service Management / Confluence / Bitbucket / Bamboo / Crowd / Crucible / Fisheye） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-21589）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/18 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。