Atlassian 于 10 月 5 日发布安全公告，披露 CVE-2026-21589 这一任意文件访问漏洞，CVSS 4.0 评分 9.3。该漏洞影响八款自托管 Data Center 产品，未认证攻击者可在知晓确切文件名与路径的前提下读取 Web 应用根目录下的指定文件。Atlassian 表示云端产品已修复，目前未发现遭在野利用。
事件概述
漏洞于 2026 年 10 月 5 日公开。受影响的自托管产品覆盖 Bitbucket、Confluence、Jira Software、Jira Service Management、Bamboo、Crowd、Crucible 与 Fisheye 的 Data Center 版本，所有未打补丁版本都在影响范围内。Atlassian 通过内部评估给出 CVSS 4.0 9.3 的评分，即网络可达、低复杂度、无需认证、无需用户交互。
技术细节
官方将问题描述为“任意文件访问”：未认证攻击者可通过构造请求访问 Web 应用根目录内的特定文件。攻击者必须事先知道目标文件的完整名称与路径，且该漏洞不允许列目录，无法枚举或遍历文件系统。因此它并非全盘任意文件读取，而是针对已知路径的定点读取。Atlassian 提醒，部分部署配置可能把敏感文件放在 Web 根目录下，从而放大风险。官方公告提供了阻塞相邻点号与路径分隔符（含编码变体）的遍历规则，可用于 WAF 与反向代理拦截。
影响评估
实际危害取决于实例 Web 根目录里存放了什么：配置文件、备份、导出数据以及第三方插件生成的文件都可能被读取；其中的数据库凭据与 API 密钥一旦泄露，会成为横向移动的跳板。这与 2021 年的 CVE-2021-26086（Jira Server/Data Center 路径遍历）同源——该漏洞直到 2024 年 11 月才被 CISA 列入 KEV，说明自托管 Atlassian 长期不升级会让旧漏洞持续可用。目前 Atlassian 未发现在野利用，也无公开 PoC。
修复建议
第一优先级是升级到官方修复版本：
- Bitbucket Data Center：9.4.26 / 10.2.8 / 10.5.1
- Confluence Data Center：9.2.26 / 10.2.19
- Jira Software Data Center：9.12.40 / 10.3.26 / 11.3.12
- Jira Service Management Data Center：5.12.40 / 10.3.26 / 11.3.12
- Bamboo Data Center：10.2.24 / 12.1.12
- Crowd Data Center：6.3.7 / 7.0.3 / 7.1.7 / 7.2.4
- Crucible / Fisheye：4.9.15
无法立即升级时，应把实例从公网下线或限制外部访问，即使已开启用户认证也不例外；同时按公告配置 WAF/反向代理规则，或对 Confluence、Jira、Bamboo、Crowd 启用 Tomcat RewriteValve，对 Bitbucket 修改 urlrewrite.xml。集群与镜像部署须逐个节点同步配置。事后应检索访问日志中的遍历特征，并轮换数据库凭据、API Token 与应用链接密钥。