CVE-2026-21589
Vulnerabilidade de arquivos ou diretórios acessíveis a partes externas em múltiplos produtos da Atlassian
Vários produtos da Atlassian (Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible e Fisheye) contêm uma vulnerabilidade de arquivos ou diretórios acessíveis a partes externas que poderia permitir que um atacante não autenticado acesse arquivos específicos dentro do diretório raiz da aplicação web nas versões afetadas.
Traduzido automaticamente do inglês.
Prazo CISA: 18 de out. de 2026
- Atlassian Multiple Products
- Crítica
- CVSS 9.3
- EPSS 12,71%
- Versão corrigida informada
O que fazer
Versão corrigida informada
- Ação exigida
- Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
- Prazo da CISA para agências federais dos EUA
- 18 de out. de 2026
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Atlassian Bamboo Data Center | All other versions | Patch version 10.2.24 and later, Patch version 12.1.12 and later |
| Atlassian Bitbucket Data Center | All other versions | Patch version 10.2.8 and later, Patch version 10.5.1 and later, Patch version 9.4.26 and later |
| Atlassian Confluence Data Center | All other versions | Patch version 10.2.19 and later, Patch version 9.2.26 and later |
| Atlassian Crowd Data Center | All other versions | Patch version 7.2.4 and later, Patch version 7.1.7 and later, Patch version 7.0.3 and later, Patch version 6.3.7 and later |
| Atlassian Crucible Data Center | All other versions | Patch version 4.9.15 and later |
| Atlassian Fisheye Data Center | All other versions | Patch version 4.9.15 and later |
| Atlassian Jira Service Management Data Center | All other versions | Patch version 11.3.12 and later, Patch version 10.3.26 and later, Patch version 5.12.40 and later |
| Atlassian Jira Software Data Center | All other versions | Patch version 11.3.12 and later, Patch version 10.3.26 and later, Patch version 9.12.40 and later |
Alertas e correções
- Exploit público github.com
Notas e sinais
- Exploração
- Explorada ativamente
- Gravidade
- Crítica, CVSS 9.3 (v4.0, pontuado por atlassian)
- EPSS
- 12,71% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 23 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: ativa. Automatizável: não. Impacto técnico: total. Em 15 de out. de 2026.
- Fraqueza
- CWE-552: Files or Directories Accessible to External Parties
- Fabricante
- Atlassian, Multiple Products
Linha do tempo
- Incluída no catálogo de vulnerabilidades exploradas da CISA: exploração ativa confirmada. Agências federais dos EUA devem corrigir até 2026-10-18.