Kritická zranitelnost CVE-2026-21589 v produktech Atlassian je aktivně zneužívána

CVE v události 11

Hodnocení z katalogů, všechna, se stupnicí CVSS a vydavatelem. Rozpad vektoru je na stránce CVE. Advisory v textu uvádí CVSS 9.3.

Jak se o tom psalo 11

1. 15. 10. 2026 · zachyceno 20:00 · CISA KEV US

   CISA zařadila na seznam aktivně zneužívaných zranitelnost v produktech Atlassian

   Agentura CISA zařadila zranitelnost CVE-2026-21589 týkající se více produktů společnosti Atlassian do katalogu známých zneužívaných zranitelností. Termín pro nápravu byl stanoven na 18. října 2026.

   originál: Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability (CVE-2026-21589)

2. 7. 10. 2026 16:59 · SANS Internet Storm Ctr. US

   Skenování zranitelnosti CVE-2026-21589 v produktech Atlassian

   SANS ISC zaznamenal pokusy o zneužití zranitelnosti CVE-2026-21589, která umožňuje čtení libovolných souborů v adresáři webových aplikací produktů Atlassian. Útočník využívá k obcházení ochrany directory traversal nahrazování lomítek řetězcem '::', přičemž všechny zaznamenané pokusy pocházejí z IP adres sítě Digital Ocean.

   originál: Scans for Atlassian vulnerablity (CVE-2026-21589), (Wed, Oct 7th)

3. 7. 10. 2026 14:49 · BleepingComputer US

   Útočníci zneužívají kritickou chybu v produktech Atlassian

   Podle zprávy je v útocích aktivně zneužívána kritická zranitelnost CVE-2026-21589, která nevyžaduje autentizaci. Problém zasahuje několik produktových řad společnosti Atlassian, včetně systémů Jira, Confluence a Bitbucket.

   originál: Hackers exploit critical Atlassian flaw after public PoC release

4. 7. 10. 2026 14:11 · Rapid7 US

   Kritická zranitelnost CVE-2026-21589 v produktech Atlassian

   Společnost Atlassian vydala bezpečnostní upozornění pro kritickou zranitelnost CVE-2026-21589 s hodnocením CVSSv4 9.3, která umožňuje neautentizovaným vzdáleným útočníkům číst libovolné soubory ve webovém kořeni aplikace. K chybě jsou již veřejně dostupné technické analýzy i funkční exploity a společnost Rapid7 doporučuje bezodkladně nasadit opravy a zkontrolovat přístupové logy.

   originál: CVE-2026-21589: Critical unauthenticated arbitrary file access in Atlassian products

5. 7. 10. 2026 09:52 · CERT-EU EU

   Kritická zranitelnost v několika produktech Atlassian

   Společnost Atlassian vydala bezpečnostní upozornění na kritickou zranitelnost umožňující libovolný přístup k souborům v řadě svých produktů, včetně Bitbucket Data Center či Confluence Data Center. CERT-EU doporučuje co nejdříve aktualizovat všechny zasažené instalace a zkontrolovat přístupové protokoly kvůli možným známkám zneužití.

   originál: 2026-015: Critical Vulnerability in Multiple Atlassian Products

6. 7. 10. 2026 · zachyceno 04:00 · NCSC-FI FI

   Kritická zranitelnost produktů Atlassian umožňuje přístup k souborům

   Podle NCSC-FI zasahuje kritická zranitelnost CVE-2026-21589 s hodnocením CVSS 9.3 všechny verze produktů Bitbucket Data Center, Confluence Data Center, Jira, Bamboo, Crowd, Crucible a Fisheye. Neautentizovaný útočník může získat přístup ke konkrétním souborům v kořenovém adresáři webové aplikace, pokud předem zná jejich přesný název a cestu; k dispozici je funkční proof-of-concept.

   originál: Atlassian: CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products

7. 6. 10. 2026 19:34 · BleepingComputer US

   Atlassian varuje před kritickou chybou přístupu k souborům v Jira a Confluence

   Společnost Atlassian varuje zákazníky před kritickou zranitelností CVE-2026-21589, která umožňuje libovolný přístup k souborům. Chyba postihuje několik lokálně hostovaných produktů řady Data Center, včetně aplikací Confluence, Jira a Bitbucket.

   originál: Atlassian warns of critical file-access flaw in Jira, Confluence

8. 6. 10. 2026 18:47 · NCSC-NL NL

   Zranitelnost vyřešena v produktech Atlassian Data Center

   V několika produktech platformy Atlassian Data Center, včetně Confluence či Jira Software, byla opravena zranitelnost typu 'Arbitrary File Access'. Neověřeným útočníkům se znalostí přesné cesty umožňuje číst specifické soubory z kořenového adresáře webové aplikace, což ohrožuje důvěrnost dat a konfigurace.

   originál: NCSC-2026-0402 [1.00] [M/H] Kwetsbaarheid verholpen in Atlassian Data Center producten

9. 6. 10. 2026 15:44 · Cyber Centre Kanada CA

   Bezpečnostní varování pro produkty Atlassian

   Kanadské středisko pro kybernetickou bezpečnost upozorňuje na zranitelnost CVE-2026-21589, která umožňuje libovolný přístup k souborům v řadě produktů Atlassian. Zasaženy jsou verze Data Center a Server u produktů Bamboo, Bitbucket, Confluence, Crowd, Crucible, Fisheye, Jira Service Management a Jira Software.

   originál: Atlassian security advisory (AV26-1002)

10. 6. 10. 2026 09:25 · CSIRT Itálie (ACN) IT

    Oprava kritické zranitelnosti v produktech Atlassian

    Bezpečnostní aktualizace řeší kritickou zranitelnost v několika produktech společnosti Atlassian. Podle zdroje by neautentizovaný útočník mohl v případě zneužití získat přístup ke konkrétním souborům v kořenovém adresáři webové aplikace, pokud předem zná jejich název a cestu.

    originál: Risolta vulnerabilità in prodotti Atlassian

11. 6. 10. 2026 · zachyceno 15:30 · CERT-FR – avis FR

    Mnohočetné zranitelnosti v produktech Atlassian

    Francouzský CERT-FR informuje o odhalení několika zranitelností v produktech společnosti Atlassian. Podle bezpečnostního varování mohou útočníkovi umožnit narušit důvěrnost dat.

    originál: Multiples vulnérabilités dans les produits Atlassian (06 octobre 2026)