新聞

10月5日軟體開發廠商Atlassian發布資安公告，揭露重大等級的任意檔案讀取漏洞CVE-2026-21589，未通過身分驗證的攻擊者可直接存取應用系統根目錄的特定檔案，CVSS v4.0嚴重程度評為9.3分，影響所有版本的Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible，以及Fisheye，該公司已推出新版軟體修補，自行架設的用戶應儘速套用更新。

值得留意的是，此漏洞無法讓攻擊者列出所有資料夾的內容，攻擊者須事先掌握目標檔案的完整名稱與路徑才能利用，在部分組態配置下，可能因敏感檔案而增加漏洞曝露的風險。雖然利用弱點存在必要條件，但Atlassian強調，假若用戶無法及時部署相關更新，應採取臨時緩解措施，例如：在網頁應用程式防火牆（WAF）加入正規表達式過濾、使用Tomcat的RewriteValve元件封鎖特定請求，以及在urlrewrite.xml新增特定規則等。要是用戶不能安裝更新，也不能導入緩解措施，應將相關應用系統的執行個體（instance）暫時從網際網路上移除。