Atlassian Jira e Confluence CVE-2026-21589: file del server letti senza credenziali su otto prodotti Data Center, attacchi a due ore dall'analisi

Atlassian ha pubblicato il 5 ottobre 2026 l'advisory per la CVE-2026-21589, una vulnerabilità di arbitrary file access valutata con CVSS v4.0 pari a 9.3 che interessa otto prodotti installati in proprio: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo e Crowd nelle edizioni Data Center, oltre a Crucible e Fisheye. Un attaccante non autenticato può leggere file specifici all'interno della directory radice dell'applicazione web, a patto di conoscerne nome e percorso, perché la falla non permette di elencare il contenuto delle cartelle. Le istanze Cloud sono già state corrette da Atlassian. Il giorno dopo watchTowr ha pubblicato l'analisi tecnica e il 7 ottobre ACN ha aggiornato il proprio alert per il rilevato sfruttamento in rete.

Il difetto sta in una libreria condivisa da tutti i prodotti, atlassian-plugins-webresource: le funzioni di routing che convertono la coppia di due punti in barre permettono di aggirare le difese contro il path traversal e di raggiungere una funzione deprecata che legge file locali. watchTowr non è riuscita a uscire dal contesto di Tomcat, ma dentro la webroot può leggere qualsiasi file, cartella riservata dell'applicazione compresa: nei propri test ha letto il descrittore web.xml di Jira e Confluence e il file urlrewrite.xml di Bitbucket. Il caso che pesa di più è l'integrazione con Crowd. Il file crowd.properties, nella cartella delle classi dell'applicazione, contiene in chiaro la password applicativa con cui Jira dialoga con Crowd, e con quella i ricercatori hanno usato le API di Crowd per creare un utente e aggiungerlo al gruppo jira-administrators: dove le API di Crowd sono raggiungibili dall'attaccante, una lettura di file diventa un account amministrativo, mentre una lista di indirizzi IP autorizzati in Crowd rende la catena molto più difficile.

I primi tentativi di sfruttamento sono arrivati entro due ore dalla pubblicazione dell'analisi, secondo quanto riportato da BleepingComputer, insieme a un template per lo scanner Nuclei che automatizza la ricerca delle istanze vulnerabili; Rapid7 segnala come pubblici anche script di prova per la lettura dei file e raccomanda l'aggiornamento d'emergenza. Atlassian dichiara di non poter stabilire se singole istanze siano state compromesse. Lo schema ricorda quello di GitLab, un altro path traversal senza autenticazione sfruttato il giorno dopo la divulgazione, di cui avevamo scritto in un nostro precedente alert del 14 settembre: fra dettagli pubblici e primi attacchi ormai passano ore. A doversene preoccupare è chi gestisce in proprio Jira, Confluence o Bitbucket raggiungibili da internet, situazione frequente nei reparti IT della pubblica amministrazione, nelle software house e nei fornitori che aprono il ticketing ai clienti, e in particolare chi integra Jira con Crowd per l'autenticazione centralizzata.

• Versioni affette: tutte le versioni precedenti alle correttive di Bitbucket Data Center (9.4.26, 10.2.8, 10.5.1), Confluence Data Center (9.2.26, 10.2.19), Jira Software Data Center (9.12.40, 10.3.26, 11.3.12), Jira Service Management Data Center (5.12.40, 10.3.26, 11.3.12), Bamboo Data Center (10.2.24, 12.1.12), Crowd Data Center (6.3.7, 7.0.3, 7.1.7, 7.2.4), Crucible e Fisheye (4.9.15). Le istanze Cloud sono già corrette.
• Azione raccomandata: aggiornare a una delle versioni correttive indicate da Atlassian; se non è possibile subito, togliere l'istanza da internet o limitarne l'accesso, oppure applicare le misure temporanee del vendor (regola WAF o proxy che blocca la sequenza di due punti consecutivi accanto a una barra, a una barra rovesciata o a un doppio due punti, anche in forma codificata; RewriteValve di Tomcat per Confluence, Jira, Jira Service Management, Bamboo e Crowd; regola in urlrewrite.xml per Bitbucket); cercare nei log di accesso, dopo la decodifica dell'URL, richieste con quelle sequenze; dove Jira è integrato con Crowd, cambiare la password applicativa di crowd.properties, limitare l'accesso a Crowd agli indirizzi autorizzati e controllare utenti e gruppi amministrativi creati di recente.

Fonti: ACN, Atlassian, watchTowr Labs, Rapid7, BleepingComputer