Atlassian : une faille critique expose des fichiers de Confluence, Jira et autres

CVE-2026-21589

Nature

exposition de fichiers du répertoire racine de l’application à des tiers non authentifiés, sur la connaissance du nom exact du fichier

CVSS v4.0, gravité

CVSS9,3

Corrigé dans

• 9.4.26
• 10.2.8
• 10.5.1
• 9.2.26
• 10.2.19
• 6.3.7
• 7.0.3
• 7.1.7
• 7.2.4
• 9.12.40
• 10.3.26
• 11.3.12
• 5.12.40
• 10.2.24
• 12.1.12
• 4.9.15

Versions touchées

• bitbucket_data_center : >= 7.17.0, < 9.4.26
• bitbucket_data_center : >= 9.5.0, < 10.2.8
• bitbucket_data_center : >= 10.3.0, < 10.5.1
• bitbucket_server : >= 4.6.0, <= 8.14.6
• confluence_data_center : >= 5.10.0, < 9.2.26
• confluence_data_center : >= 9.3.0, < 10.2.19
• crowd : >= 2.11.0, < 6.3.7
• crowd : >= 7.0.0, < 7.0.3
• crowd : >= 7.1.0, < 7.1.7
• crowd : >= 7.2.0, < 7.2.4
• jira_data_center : >= 7.1.0, < 9.12.40
• jira_data_center : >= 9.13.0, < 10.3.26
• jira_data_center : >= 10.4.0, < 11.3.12
• jira_service_desk : >= 3.1.0, <= 4.13.27
• jira_service_management : >= 4.14.0, < 5.12.40
• jira_service_management : >= 5.13.0, < 10.3.26
• jira_service_management : >= 10.4.0, < 11.3.12
• bamboo : >= 7.0.1, < 10.2.24
• bamboo : >= 11.0.0, < 12.1.12
• crucible : < 4.9.15

Vecteur CVSS v4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS (24/10)

EPSS12,7 % (96^e centile)

Catalogue KEV

KEVExploitéeoui, ajoutée le 15/10

Fiches et avis

NVD pour CVE-2026-21589, cve.org pour CVE-2026-21589

Ce qu'on sait de l'exploitation

La vulnérabilité CVE-2026-21589 figure au catalogue KEV de la CISA, qui recense les failles exploitées, depuis le 15 octobre 2026. L’agence a fixé au 18 octobre 2026 l’échéance de remédiation pour les organismes fédéraux américains. Le catalogue indique que l’usage par des rançongiciels est inconnu.

À faire, dans l'ordre

1. Recenser les produits Atlassian hébergés (Confluence, Jira, Bitbucket, Bamboo, Crowd, Crucible, Fisheye) et leur version

2. Installer la version corrigée de chaque branche, par exemple Confluence 9.2.26 ou 10.2.19, Jira 9.12.40, 10.3.26 ou 11.3.12, Bitbucket 9.4.26, 10.2.8 ou 10.5.1

3. Pour les autres produits, installer la version corrigée indiquée par l’éditeur, comme la 4.9.15 pour Crucible

4. Suivre les mesures de l’éditeur et les consignes de la CISA, qui demandent aussi un triage forensique des équipements exposés