Faille Atlassian CVE-2026-21589 : la CISA alerte

La faille Atlassian CVE-2026-21589, qui touche les éditions Data Center de Jira, Confluence, Bitbucket et cinq autres produits, a été ajoutée le 15 octobre au catalogue des vulnérabilités exploitées (KEV) de l'agence américaine CISA. Divulguée le 5 octobre par l'éditeur, elle permet à un attaquant non authentifié de lire certains fichiers sur le serveur. Les administrateurs d'instances auto-hébergées ont tout intérêt à corriger sans attendre.

Une lecture de fichiers sans authentification

Selon le bulletin d'Atlassian, la vulnérabilité permet à un attaquant non authentifié d'accéder à des fichiers spécifiques situés dans la racine de l'application web. L'exploitation suppose de connaître le nom et le chemin exacts du fichier visé : la faille ne permet pas de lister le contenu des répertoires. Atlassian la classe « critique », avec un score CVSS 4.0 de 9,3.

Huit produits sont concernés, dans toutes leurs versions antérieures aux correctifs : Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible et Fisheye. Les produits Atlassian Cloud ont été corrigés par l'éditeur et ne demandent aucune action.

Ce que change l'inscription au catalogue KEV

Dans son bulletin initial, Atlassian indiquait ne pas avoir trouvé de trace d'exploitation sur ses produits Cloud, tout en précisant ne pas pouvoir confirmer si les instances de ses clients avaient été touchées. L'inscription au catalogue KEV signifie que la CISA dispose désormais d'éléments d'exploitation active. Les agences fédérales américaines ont jusqu'au 18 octobre pour appliquer les mesures de l'éditeur, mener un tri forensique et évaluer l'exposition de chaque actif sur Internet. L'utilisation par des groupes de rançongiciel est, à ce stade, marquée comme « inconnue ».

Ce calendrier très court est un bon indicateur de priorité, y compris pour les organisations européennes, comme lors des récentes alertes sur FortiMail ou Zammad.

Les versions à installer

Atlassian ne publie plus de correctifs binaires : les corrections sont intégrées dans des versions de maintenance. Les versions corrigées sont les suivantes :

• Jira Software Data Center : 9.12.40, 10.3.26 et 11.3.12 ;
• Jira Service Management Data Center : 5.12.40, 10.3.26 et 11.3.12 ;
• Confluence Data Center : 9.2.26 et 10.2.19 ;
• Bitbucket Data Center : 9.4.26, 10.2.8 et 10.5.1 ;
• Bamboo Data Center : 10.2.24 et 12.1.12 ;
• Crowd Data Center : 6.3.7, 7.0.3, 7.1.7 et 7.2.4 ;
• Crucible et Fisheye : 4.9.15.

Si la mise à jour doit attendre

L'éditeur recommande en priorité de retirer les instances d'Internet jusqu'à leur correction, y compris celles qui exigent une authentification. Trois mesures d'atténuation temporaires sont détaillées dans le bulletin :

• une règle de pare-feu applicatif (WAF) ou de proxy bloquant les motifs de traversée de répertoire (.. accolé à /, \ ou ::, y compris sous forme encodée), valable pour tous les produits ;
• une règle Tomcat RewriteValve pour Confluence, Jira, Jira Service Management, Bamboo et Crowd ;
• une règle dans urlrewrite.xml pour Bitbucket.

Ces modifications doivent être appliquées sur chaque nœud d'un cluster, miroirs Bitbucket compris, puis suivies d'un redémarrage. Il est également conseillé d'examiner les journaux d'accès à la recherche des motifs décrits par Atlassian, afin de détecter d'éventuelles tentatives passées.