6 Ekim 2026 tarihinde Swati Khandelwal tarafından yazılan yazı, zafiyet ve web güvenliği kategorisinde yer alıyor.
Müşterilerin kendileri barındırdığı 8 Atlassian Data Center ürününde kritik bir açık bulunuyor. Bu açık, giriş erişimi olmayan bir saldırganın her ürünün web uygulama kök dizinindeki belirli dosyaları okumasına izin veriyor.
Saldırgan dosyanın tam adını ve yolunu önceden bilmek zorunda ve dizinin içeriğini listeleyemiyor. Atlassian açığı 5 Ekim'de CVE-2026-21589 olarak açıkladı, 10 üzerinden 9,3 puan verdi ve her ürün için düzeltilmiş sürüm listeledi.
Web uygulama kök dizini, sunucuda web uygulamasının kendisini barındıran klasördür. Bazı yapılandırmalarda bu klasör hassas dosyalar içerebilir ve Atlassian'a göre bu riskin artmasına neden olur.
Atlassian'ın açıktan etkilenen bulut ürünleri zaten yamalandı ve bulut müşterilerinin herhangi bir işlem yapmasına gerek yok.
Atlassian, yükseltme bir kerede yapılamıyorsa örneği mümkünse çevrimdışı hale getirmeyi öneriyor. İnternetten erişilebilen her örnek, giriş gerektirenler dahil, yükseltilene kadar veya geçici bir engelleme kuralı uygulanana kadar dış ağ erişiminden kısıtlanmalı.
Etkilenen Ürünler ve Düzeltilmiş Sürümler
Açık, aşağıda listelenen düzeltilmiş sürümlerden önceki tüm sürümleri etkiliyor. Atlassian'a göre bu, yaşam döngüsü sona ermiş sürümleri de kapsayabilir ve şirket düzeltilmiş bir uzun süreli destek sürümüne veya daha yenisine yükseltme öneriyor.
Atlassian 6 Ekim itibarıyla şu düzeltilmiş sürümleri listeledi:
Bitbucket Data Center
9.4.26, 10.2.8, 10.5.1
Confluence Data Center
Jira Software Data Center
9.12.40, 10.3.26, 11.3.12
Jira Service Management Data Center
5.12.40, 10.3.26, 11.3.12
Bamboo Data Center
Crowd Data Center
6.3.7, 7.0.3, 7.1.7, 7.2.4
Crowd'un 7.1 dalı için biletin düzeltme sürümü alanı 7.1.7 diyordu. Aynı biletteki bir tablo 7.1.6 gösteriyordu ve bilet bu sürümü de etkilenen sürüm olarak listeliyordu.
Atlassian'ın bildirdiği CVE kaydı 2 ürün için farklı numaralar verdi. Crowd için 7.1.1 listeledi ve Crowd 7.1 sürüm notları bunu 27 Kasım 2025 tarihli olarak gösteriyor, açığın açıklanmasından 10 aydan fazla önce. Bamboo için bir alan 10.2.4 derken kaydın kendi açıklaması 10.2.24 diyordu.
CVE kaydı ayrıca danışmada bahsedilmeyen Atlassian'ın eski kendi barındırılan hattı olan Server sürümlerini de listeledi. Bamboo Server, Bitbucket Server, Confluence Server ve Crowd Server'ın her sürümünü etkilenen olarak işaretledi ve bunlar için düzeltilmiş sürüm listelemedi.
Jira Software Server için kayıt 9.12.40 ve sonrası sürümleri etkilenmemiş olarak listeledi, Jira Service Management Server için 5.12.40 ve sonrası, Crucible Server ve Fisheye Server için 4.9.15 ve sonrası. Server lisanslarının bu sürümleri çalıştırabileceğini söylemedi.
Atlassian'ın Crowd sürüm notlarına göre Crowd'un Eylül 2023'te 5.2 sürümünden bu yana Server sürümü yayınlanmadı, dolayısıyla düzeltilmiş Crowd sürümlerinin hiçbiri Server sürümü değil.
Henüz Yükseltilemiyorsa
Atlassian CVE kaydında açığı yol geçişi olarak etiketliyor. Yol geçişinde bir istek, erişmemesi gereken dosyalara ulaşmak için özel olarak oluşturulmuş bir dosya yolu kullanır.
Atlassian üç geçici engelleme kuralı tanımlıyor ve bunlara hafifletme diyor. Üçü de URL'si .. karakterini / , \ veya :: karakterlerinin hemen yanında içeren istekleri engelliyor, URL kodlanmış biçimler dahil.
Hangi kuralın uygulanacağı ürüne bağlı:
8 ürünün tamamı: Eşleşen URL'leri engelleyen bir web uygulama güvenlik duvarı veya ters proxy kuralı.
Confluence, Jira Software, Jira Service Management, Bamboo ve Crowd: Her düğümde kurulan ve kapatılıp yeniden başlatılması gereken bir Tomcat RewriteValve kuralı.
Bitbucket: Her düğüm, ayna ve ayna çiftliği düğümüne uygulanan urlrewrite.xml içindeki bir kural, ardından yeniden başlatma.
Crucible ve Fisheye'nin yalnızca ilk seçeneği var. Danışma her biri için kuralı ve dosya değişikliklerini veriyor.
Hafifletmeler sınırlıdır ve örneğinizi yama yapmanın yerine geçmez, Atlassian ürün biletlerinde belirtiyor.
Geçmiş Erişimi Kontrol Etme
Atlassian etkilenen bulut ürünlerinin yamalandığını ve araştırmasının istismar kanıtı bulmadığını söyledi. Bitbucket Cloud etkilenmiyor.
Danışma kendi barındırılan örneklerde saldırıların görülüp görülmediğini söylemiyor. Atlassian, örneklerinizin bu açık tarafından etkilenip etkilenmediğini doğrulayamayız diyor.
Müşterilere güvenlik ekiplerinin erişim günlüklerini araması söyleniyor. Bir yöntem her istek satırını en fazla iki kez URL çözmek ve .. karakterini / , \ veya :: karakterlerinin hemen yanında aramak. Diğer yöntem Atlassian'ın engelleme desenini ham günlük satırları üzerinden çalıştırmak.
Danışma başarısız bir denemeyi dosya döndüren bir istekten nasıl ayırt edeceğini açıklamıyor veya yükseltme sonrası böyle isteklerle karşılaşan müşterinin ne yapması gerektiğini belirtmiyor.
Saldırganlar bu tür bir açığı Atlassian ürününde daha önce istismar etti. CVE-2021-26086, Jira Server ve Data Center'da uzaktan saldırganların belirli dosyaları okumasına izin veren bir yol geçişi zafiyetidir. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA bunu 12 Kasım 2024'te bilinen istismar edilen zafiyetler kataloğuna ekledi.
Atlassian Açığı Nasıl Puanladı
9,3 puanı Ortak Zafiyet Değerlendirme Sistemi'nin 4.0 sürümünü kullanıyor ve puan Atlassian'a ait. Şirket müşterilere bunun kendi ortamlarına nasıl uygulanacağını değerlendirmelerini söylüyor.
Puan açık için ayrıcalık veya kullanıcı eylemi olmadan ağ üzerinden erişilebilirlik belirliyor. Zafiyet altındaki sistemin gizliliği üzerindeki etkiyi yüksek, bütünlüğü ve kullanılabilirliği yok, diğer sistemler üzerindeki etkiyi yüksek olarak değerlendiriyor.
Danışma hassas dosyaları veya bunları içeren yapılandırmaları tanımlamıyor ve diğer sistemler için yüksek puanı açıklamıyor.
