Atlassian Data Center : accès non authentifié à des fichiers, faille exploitée

En bref

• Le fait. Le 5 octobre 2026, Atlassian a publié un avis sur CVE-2026-21589, une faille touchant ses produits auto-hébergés Data Center, ainsi que Fisheye et Crucible. Elle permet à un attaquant non authentifié de lire certains fichiers du répertoire de l'application web, s'il connaît leur nom et leur chemin exacts. Selon les configurations, des fichiers sensibles peuvent être exposés. Le CERT-FR a publié l'avis CERTFR-2026-AVI-1264 le 6 octobre, et la CISA a ajouté la faille au catalogue KEV le 15 octobre 2026. Source : avis Atlassian.
• Êtes-vous concerné ? Si votre entreprise ou votre prestataire héberge lui-même Jira, Confluence, Bitbucket, Bamboo, Crowd, Fisheye ou Crucible. Les offres Atlassian Cloud sont déjà corrigées selon l'éditeur.
• Quoi faire :
  1. faites vérifier la version de chaque produit Atlassian auto-hébergé ;
  2. appliquez la version corrective de votre branche, en priorité sur les instances accessibles depuis Internet ;
  3. si une instance exposée n'était pas à jour, faites contrôler les journaux d'accès et renouveler les secrets présents dans les fichiers de configuration.
• Urgence : élevée pour les instances exposées sur Internet. La CISA signale une exploitation active.

Détail technique

Identifiants. CVE-2026-21589 : accès arbitraire à des fichiers sans authentification. L'attaquant doit connaître le nom et le chemin exacts du fichier visé : la faille ne permet pas de lister les répertoires. Avis CERT-FR : CERTFR-2026-AVI-1264 (Jira Service Management n'y figure pas, mais il est listé par l'éditeur et par la NVD).

Produits et versions.

• Bitbucket Data Center : versions affectées antérieures à 9.4.26 ; 10.2.x antérieures à 10.2.8 ; 10.5.x antérieures à 10.5.1 ; version corrigée : 9.4.26, 10.2.8 ou 10.5.1 et ultérieures.
• Confluence Data Center : versions affectées antérieures à 9.2.26 ; 10.2.x antérieures à 10.2.19 ; version corrigée : 9.2.26 ou 10.2.19 et ultérieures.
• Jira Service Management Data Center : versions affectées antérieures à 5.12.40 ; 10.3.x antérieures à 10.3.26 ; 11.3.x antérieures à 11.3.12 ; version corrigée : 5.12.40, 10.3.26 ou 11.3.12 et ultérieures.
• Jira Software Data Center : versions affectées antérieures à 9.12.40 ; 10.3.x antérieures à 10.3.26 ; 11.3.x antérieures à 11.3.12 ; version corrigée : 9.12.40, 10.3.26 ou 11.3.12 et ultérieures.
• Bamboo Data Center : versions affectées antérieures à 10.2.24 ; 12.1.x antérieures à 12.1.12 ; version corrigée : 10.2.24 ou 12.1.12 et ultérieures.
• Crowd Data Center : versions affectées antérieures à 6.3.7 ; 7.0.x antérieures à 7.0.3 ; 7.1.x antérieures à 7.1.7 ; 7.2.x antérieures à 7.2.4 ; version corrigée : 6.3.7, 7.0.3, 7.1.7 ou 7.2.4 et ultérieures.
• Fisheye et Crucible : versions affectées antérieures à 4.9.15 ; version corrigée : 4.9.15 ou ultérieure.

KEV. Oui : ajoutée au catalogue KEV de la CISA le 15 octobre 2026.

Exploitation active. Oui, selon la CISA (inscription au KEV).

IOC publics. Aucun indicateur publié par l'éditeur.

Remédiation.

• Mettre à jour chaque produit vers la version corrective de sa branche (liste ci-dessus) ou vers la dernière version LTS.
• Ne pas exposer les instances auto-hébergées directement sur Internet lorsque ce n'est pas nécessaire.
• Si une instance exposée était vulnérable, examiner les journaux d'accès et renouveler les secrets (mots de passe de base de données, jetons) présents dans les fichiers accessibles.