Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-552

CVE-2026-21589

Atlassian Data Center ürünlerinde kimlik doğrulamasız rastgele dosya erişimi

atlassian bambooAtlassian Bamboo Data Centeratlassian Bitbucket Data Center

Kritik 9,3 CVSS 4.0
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
22 gün
Kaydı açan
atlassian
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 15 Eki 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 18 Eki 2026.

Yönetici özeti

Şirketin kullandığı Atlassian sunucu ürünlerindeki bu açık, giriş yapmadan internet üzerinden bazı dosyaların okunmasına izin verebiliyor. Açığın aktif olarak istismar edildiği bildirildiği için güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd Data Center ile Crucible ve Fisheye ürünlerinde, web uygulaması kök dizinindeki belirli dosyalara erişime izin veren bir rastgele dosya erişimi (CWE-552) açığı bulunuyor. Kimlik doğrulaması olmayan uzak bir saldırgan, hedef dosyanın tam adını ve yolunu biliyorsa bu dosyaları okuyabilir; dizin içeriğini listelemek mümkün değildir. Bazı yapılandırmalarda hassas dosyalar açığa çıkabildiği için açık çok ciddi kabul edilmektedir. Zafiyet CISA KEV listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan web uygulaması kök dizinindeki hassas dosyaları okuyabilir. Bu da yapılandırma veya gizli bilgilerin sızmasına ve diğer sistemlere yayılmaya yol açabilir.

Kaynaktaki açıklama (İngilizce)

This is a vulnerability in Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center. Crowd Data Center, Crucible and Fisheye. This Arbitrary File Access vulnerability allows an unauthenticated attacker to access specific files within the web application root directory in affected versions. Exploitation requires prior knowledge of the target file's exact name and path; this vulnerability does not allow attackers to enumerate or list directory contents. In some configurations, there may be some sensitive files that make this highly severe. This vulnerability allows an unauthenticated remote attacker to access specific files within the web application root directory in affected versions. The vulnerability must be addressed for affected versions of: -- Bitbucket Data Center, introduced in version >= 4.6.0, fix versions: 9.4.26, 10.2.8, 10.5.1 -- Confluence Data Center, introduced in version >= 5.10.0, fix versions 9.2.26, 10.2.19 -- Crowd Data Center, introduced in version >= 2.11.0, fix versions 6.3.7, 7.0.3, 7.1.7, 7.2.4 -- Jira Software Data Center, introduced in version >= 7.1.0, fix versions 9.12.40, 10.3.26, 11.3.12 -- Jira Service Management Data Center, introduced in version >= 3.1.0, fix versions 5.12.40, 10.3.26, 11.3.12 -- Bamboo Data Center >= 7.0.1, fix versions 10.2.24, 12.1.12 -- Crucible, fix versions 4.9.15 -- Fisheye, fix version 4.9.15 -- Exploitation requires prior knowledge of the target file's exact name and path. The vulnerability does not include the capability to enumerate or list directory contents.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Ürününüzü düzeltilmiş sürüme yükseltin: Bitbucket Data Center 9.4.26, 10.2.8 veya 10.5.1; Confluence Data Center 9.2.26 veya 10.2.19; Crowd 6.3.7, 7.0.3, 7.1.7 veya 7.2.4. Üretici
  2. Jira Software Data Center için 9.12.40, 10.3.26 veya 11.3.12; Jira Service Management Data Center için 5.12.40, 10.3.26 veya 11.3.12; Bamboo Data Center için 10.2.24 veya 12.1.12 sürümüne geçin. Üretici
  3. Crucible ve Fisheye için 4.9.15 sürümüne güncelleyin. Üretici
  4. CISA'nın gereklilikleri doğrultusunda satıcı talimatlarına uygun önlemleri uygulayın, varlıkların internete açıklığını değerlendirin; önlem uygulanamıyorsa ürünün kullanımını durdurun. CISA
  5. Güncelleme öncesinde sistemde istismar belirtisi olup olmadığını kontrol edin; web sunucusu erişim kayıtlarını inceleyin. Genel öneri

Ek önlemler

  • Atlassian uygulamalarını mümkünse doğrudan internete açmayın; VPN veya IP kısıtlaması ile erişimi sınırlayın. Genel öneri
  • Web uygulaması kök dizininde yapılandırma dosyaları, yedekler veya parolalar gibi hassas dosyalar bulundurmayın. Genel öneri
  • Olağandışı dosya yolu isteklerini web sunucusu ve ters vekil (reverse proxy) günlüklerinde izleyin. Genel öneri
  • Dosyalar açığa çıkmış olabileceğinden, sistemde saklanan parola, anahtar ve token bilgilerini yenilemeyi değerlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler16 yazılım

YazılımEtkilenenDüzeltildiği sürüm
atlassian bamboo ≥ 7.0.1, < 10.2.24 10.2.24
≥ 11.0.0, < 12.1.12 12.1.12
Atlassian Bamboo Data Center Sürüm belirtilmemiş –
Sürüm belirtilmemiş Etkilenmiyor –
atlassian Bitbucket Data Center ≥ 7.17.0, < 9.4.26 9.4.26
≥ 9.5.0, < 10.2.8 10.2.8
≥ 10.3.0, < 10.5.1 10.5.1
atlassian Bitbucket Server ≥ 4.6.0, ≤ 8.14.6 –
atlassian Confluence Data Center ≥ 5.10.0, < 9.2.26 9.2.26
≥ 9.3.0, < 10.2.19 10.2.19
atlassian crowd ≥ 2.11.0, < 6.3.7 6.3.7
≥ 7.0.0, < 7.0.3 7.0.3

ve 21 satır daha

Kaynaklar13 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.