Atlassian waarschuwt voor kritieke kwetsbaarheid in Jira en Confluence

Atlassian heeft een waarschuwing uitgegeven voor een kritieke kwetsbaarheid, aangeduid als CVE-2026-21589, die kan worden misbruikt voor willekeurige bestandsaccess in verschillende zelf-gehoste Data Center producten, waaronder Confluence, Jira en Bitbucket. Deze kwetsbaarheid stelt een niet-geauthenticeerde aanvaller in staat om specifieke bestanden binnen de webrootdirectory van de getroffen applicatie te benaderen, mits de aanvaller de exacte naam en het pad van het bestand kent.

De kwetsbaarheid maakt het mogelijk om toegang te krijgen tot bepaalde bestanden, maar biedt geen mogelijkheid om de inhoud van directories te enumereren of op te sommen. Atlassian adviseert systeembeheerders van zelf-gehoste om onmiddellijk de beveiligingsupdates toe te passen, terwijl cloudklanten automatisch zijn gepatcht en geen actie hoeven te ondernemen.

Als onmiddellijke patching niet mogelijk is, raadt Atlassian aan om de externe netwerktoegang te beperken, vooral voor internet-facing instanties die gebruikersauthenticatie vereisen. Tijdelijke mitigaties omvatten het toevoegen van een webapplicatiefirewall (WAF) of proxyregels die specifieke traversiepatronen blokkeren, en het implementeren van Tomcat RewriteValve-regels voor verschillende producten.

Atlassian heeft momenteel geen bewijs dat CVE-2026-21589 actief wordt misbruikt, maar raadt beheerders aan om toeganglogs te controleren op de beschreven traversiepatronen. Het bedrijf kan niet bevestigen of individuele klantinstellingen zijn gecompromitteerd en adviseert klanten met zelf-gehoste instanties om contact op te nemen met hun lokale beveiligingsteam.