Atlassian 修補多款自管產品的任意檔案存取漏洞

情報摘要

Atlassian 10 月 5 日公告 CVE-2026-21589：未經認證的攻擊者可存取受影響應用程式根目錄內的指定檔案，但必須知道完整檔名及路徑，不能藉此列出目錄。受影響產品包括 Bamboo、Bitbucket、Confluence、Jira、Crowd、Crucible 及 Fisheye。

受影響產品

公告所列 Data Center 產品，以及 Crucible、Fisheye；各產品修補版本不同。

適用讀者

使用 Atlassian 自管產品的香港開發及 IT 團隊

建議行動

按官方版本表逐一更新；Bamboo Data Center 修補版本為 10.2.24、12.1.12。未能即時修補時，依公告限制外部存取或套用適用的暫時緩解措施。

風險評級依據

Atlassian 自評 Critical，CVSS v4.0 9.3。

解讀限制

香港部署或受影響個案未獲證實。

Atlassian 表示受影響雲端產品已修補，雲端客戶毋須採取行動。不要將自管產品的風險直接套用至雲端服務。

資料來源

• Atlassian：CVE-2026-21589 多產品安全公告 ↗來源刊登：2026-10-05