CVE-2026-21589חולשה במוצרי Atlassian מנוצלת בפועל ומאפשרת לקרוא קבצים מהשרת בלי להזדהות

חולשה בשורת מוצרי ה-Data Center של Atlassian, בהם Jira, Confluence ו-Bitbucket, מאפשרת לתוקף לא מזוהה לקרוא קבצים מתוך תיקיית השורש של היישום. ב-15 באוקטובר 2026 הוסיפה אותה CISA, סוכנות הסייבר האמריקאית, לקטלוג החולשות שתוקפים מנצלים בפועל, וקבעה מועד תיקון ב-18 באוקטובר. הציון הוא 9.3 מתוך 10 בסולם CVSS 4.0, ומי שמריץ אחד מהמוצרים האלה על שרת משלו צריך להגיע לגרסת התיקון עכשיו.

מה החולשה?

יישום אינטרנט יושב בתוך תיקייה על השרת, ובתוכה שתי קבוצות של קבצים: אלה שהוא מגיש לדפדפן, כמו תמונות וקובצי עיצוב, ואלה שאינם מיועדים לאף אחד מבחוץ. ההפרדה בין שתי הקבוצות היא תפקיד של היישום, והחולשה הזאת היא כשל בהפרדה: בקשה שהגיעה בלי הזדהות מצליחה לקבל קובץ מהצד הלא נכון.

הסיווג שהרשומה נותנת הוא CWE-552, קבצים שנגישים לגורמים חיצוניים. בשונה מחולשות שמריצות קוד, כאן לא קורה דבר על השרת מלבד קריאה. אין שינוי, אין פקודה, יש קובץ שיוצא.

וכאן נכנסת ההגבלה שמגדירה את ההיקף. הרשומה מדגישה שהניצול מחייב ידיעה מוקדמת של השם והנתיב המדויקים, ושהחולשה אינה מאפשרת לתוקף להציג רשימה של קבצים או לסרוק תיקיות. כלומר זה אינו כלי שאפשר להפנות אל שרת זר ולראות מה יש בו, זה כלי לשליפת קובץ שכבר יודעים עליו.

ומה שהופך את זה בכל זאת ל-9.3 הוא מה שאפשר לדעת מראש. מוצרי Atlassian מותקנים לפי מדריך, והנתיבים בתוכם דומים בין התקנה להתקנה, כך שמי שמריץ את אותו מוצר אצלו יודע איפה יושבים קובצי ההגדרות. הרשומה אומרת את זה בלשונה: בחלק מהתצורות יש קבצים רגישים שהופכים את החולשה לחמורה מאוד.

ושווה לשים לב גם למה שהדירוג מסמן. הפגיעה הישירה היא בסודיות בלבד, אבל הסולם מסמן פגיעה גבוהה גם בשלמות ובזמינות של המערכות שמעבר ליישום עצמו. זה ההסבר לכך שחולשת קריאה מקבלת ציון כזה: מה שיוצא מקובץ הגדרות פותח דלתות שהקריאה עצמה לא פתחה.

מי מושפע?

הרשומה מונה שמונה מוצרים, ולרובם גם את הגרסה שממנה הבעיה קיימת: Bitbucket Data Center מגרסה 4.6.0, Confluence Data Center מגרסה 5.10.0, Crowd Data Center מגרסה 2.11.0, Jira Software Data Center מגרסה 7.1.0, Jira Service Management Data Center מגרסה 3.1.0, ו-Bamboo Data Center מגרסה 7.0.1. לצידם מופיעים Crucible ו-Fisheye, שלהם הרשומה נותנת גרסת תיקון בלי לציין מאיזו גרסה הבעיה התחילה.

שימו לב שכל המוצרים כאן הם מהדורות Data Center, כלומר ההתקנות שהארגון מריץ על השרתים שלו ולא שירות מנוהל. בישראל מדובר במחלקות פיתוח, בחברות תוכנה ובארגונים שמריצים את Jira ואת Confluence על חומרה משלהם, וזה קהל גדול בארץ.

לגולש אין כאן כלום. מי שמושפע הוא הארגון, והמידע שבסיכון הוא מה ששמור בתוך ההתקנה שלו.

האם מנוצלת בפועל?

כן. ב-15 באוקטובר 2026 נכנסה החולשה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שהוא רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. CISA קבעה מועד תיקון ב-18 באוקטובר 2026, שלושה ימים בלבד אחרי ההוספה, וגם דרשה מהגופים שכפופים לה לבדוק בדיעבד אם יש אצלם ראיות לניצול. המשמעות המעשית פשוטה: העדכון הזה אינו יכול לחכות לחלון התחזוקה הבא.

מה שכן, שתי הרשומות הרשמיות לא מסתדרות זו עם זו, ושווה לדעת את זה. יום אחרי ההוספה לקטלוג סימן NVD, מסד הנתונים האמריקאי לחולשות, את הרשומה שלו למספר הזה כדחויה, בנימוק שהפרסום היה אולי טעות או זיהוי שגוי. במקביל, הודעת האבטחה של Atlassian על החולשה ועל גרסאות התיקון עומדת במקומה, ו-CISA ממשיכה להפנות אליה ולמנות את אותם שמונה מוצרים. כלומר הבאג עצמו והתיקון אינם במחלוקת, ומה שאינו מסודר הוא הרישום במסד הנתונים.

ההגבלה שתוארה למעלה, הצורך לדעת את שם הקובץ ואת הנתיב מראש, לא מנעה את הניצול. היא בעיקר מעצבת את צורתו. זה אינו הסוג שמסתובב בסריקה עיוורת של כל האינטרנט, אלא תוקף שבחר יעד, מכיר את המוצר שרץ בו ויודע לאן לפנות בתוכו.

את הפרטים של Atlassian אפשר לקרוא בהודעת האבטחה שלה, וגם בכרטיסים שמצורפים לרשומה לפי מוצר: BSERV-20604 ל-Bitbucket, CONFSERVER-104488 ל-Confluence, BAM-26567 ל-Bamboo ו-CRUC-8741 ל-Crucible.

מה עושים?

1. זהו קודם איזה מוצר ואיזו גרסה רצים אצלכם. במוצרי Atlassian מספר הגרסה מופיע במסך הניהול של המוצר.
2. עדכנו לגרסת התיקון של המוצר שלכם. לרוב המוצרים יש כמה, אחת לכל קו גרסאות שעוד נתמך. Bitbucket Data Center: 9.4.26, 10.2.8 או 10.5.1. Confluence Data Center: 9.2.26 או 10.2.19. Crowd Data Center: 6.3.7, 7.0.3, 7.1.7 או 7.2.4. Jira Software Data Center: 9.12.40, 10.3.26 או 11.3.12. Jira Service Management Data Center: 5.12.40, 10.3.26 או 11.3.12. Bamboo Data Center: 10.2.24 או 12.1.12. Crucible ו-Fisheye: 4.9.15.
3. בחרו את המספר שנמצא בקו שאתם עליו. אם אתם על Jira Software 10.3.x, היעד הוא 10.3.26 ולא 11.3.12. עדכון בתוך אותו קו הוא שינוי קטן, ומעבר בין קווים הוא פרויקט.
4. ואם אתם מריצים כמה מהמוצרים האלה, טפלו בכולם. הם מופיעים באותה רשומה, אבל כל אחד מהם מתעדכן בנפרד, ולכן העדכון של Confluence אינו מטפל ב-Bitbucket שלכם.
5. ומכיוון שהחולשה מנוצלת, בדקו גם אחורה ולא רק קדימה. חפשו בלוגים של השרת בקשות לקבצים בתוך תיקיית היישום שאינם הקבצים שהיישום מגיש בדרך כלל, והשוו למועד שבו הגעתם לגרסת התיקון. זאת בדיוק הבדיקה ש-CISA דורשת מהגופים שכפופים לה.