最近の脆弱性 › CVE-2026-21589
Atlassian Multiple Products の脆弱性（CVE-2026-21589）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-21589 |
|---|---|
| 製品 | Atlassian Multiple Products |
| 深刻度（CVSS） | 7.5 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2026-10-15 |
| 米国政府機関の対応期限 | 2026-10-18 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-552 |
何が起きた
Atlassianの複数の製品に、外部から特定のファイルにアクセスされる弱点が見つかりました。実際に悪用されていることも確認されています。ログインしていない攻撃者が、ネットワーク経由でウェブアプリケーションの中の特定のファイルを読み取れる可能性があります。ただし攻撃するには、ねらうファイルの正確な名前と場所を知っている必要があり、フォルダの中身を一覧で見ることはできません。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
自社で運用している Bitbucket、Confluence、Jira Software、Jira Service Management、Bamboo、Crowd の Data Center 版と、Crucible、Fisheye が影響を受けます。修正版より前のバージョンが対象です。Atlassian Cloud はメーカーが修正済みです。
何をすればいい
使っている製品を修正版に更新してください。例えば Confluence Data Center は 9.2.26 または 10.2.19 以降、Jira Software Data Center は 9.12.40、10.3.26、11.3.12 以降です。すぐに更新できない場合は、公式が案内している一時的な遮断の方法を検討してください。詳しくはメーカーの公式の案内を確認してください。
やることチェックリスト
- 使っている製品のバージョンを確かめる
- 製品ごとの修正版以降に更新する
- すぐ更新できなければ公式の一時的な遮断を行う
用語メモ
- ネットワーク経由
- インターネットなどの通信回線を通じて、離れた場所からアクセスすることです。
- Data Center 版
- 製品を自社のサーバーで動かして使う形の版のことです。
元データ（英語・CISA KEV より）
Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability
概要
Multiple Atlassian products (Bitbucket Data Center ,Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible and Fisheye) contain a files or directories accessible to external parties vulnerability which could allow an unauthenticated attacker to access specific files within the web application root directory in affected versions.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.