先說結論：自行管理 Atlassian Data Center 的團隊，應把 2026 年 10 月 5 日公布的 CVE-2026-21589 列入當日更新清單，先找出對外可連線的節點，再依產品支線安裝固定版。這項漏洞讓未登入的遠端使用者在已知確切檔名與路徑時，可能讀取網頁應用程式根目錄中的特定檔案；根目錄是網站程式放置與提供內容的主要資料夾。它不能讓人任意列出整個資料夾，也不能由公告直接推論任何公司的檔案已外流。Atlassian 公告涵蓋 Bitbucket、Confluence、Jira、Bamboo、Crowd、Crucible 和 Fisheye 等八款產品；研究團隊 watchTowr 另以易受影響版與修補版比對進行獨立驗證，CERT-EU 則提醒優先處理公開可達的執行個體。本文於台北時間 10 月 8 日重新查核三個機構的官方頁面。
背景與前因：Atlassian 的 Data Center 是由組織自行管理的版本，常用來處理專案、程式碼、服務請求、文件與登入身分。Bitbucket 管理程式碼，Confluence 保存團隊知識，Jira 記錄工作與服務案件；這些系統可能連到其他業務流程，因此一個檔案讀取問題可能牽動超出單一頁面的調查。原廠的正式安全公告發布於 10 月 5 日，並把問題評為嚴重、CVSS 第四版分數 9.3。CVSS 是估計漏洞技術嚴重度的共同量表，不是特定組織已受害的證據。CERT-EU 隨後發布安全警示，watchTowr 也公開對不同版本的比較研究；今天報導的是這起已公告事件的查核與處置，不是宣稱今天才發現漏洞。
原因與前置條件：Atlassian 稱它為任意檔案存取，意思是應受網站程式限制的檔案，可能透過不當的路徑處理被讀取。攻擊者不需要先登入，但必須預先知道要找的檔案精確名稱與位置；公告明確說明，此漏洞本身不能列舉資料夾內容。這兩個限制必須同時表達，既不能淡化未登入者可存取的風險，也不能誇張成無條件瀏覽整台主機。只有某些部署會在可受影響的根目錄放置較敏感檔案，因此實際資訊風險取決於本地目錄結構和存放內容。公開文章不列出可操作的請求格式、檔案路徑或重現步驟，維運者應依原廠公告與授權安全流程檢查。
watchTowr 的獨立研究提供一項不同於原廠公告的證據。研究者部署易受影響與已修補的 Bitbucket、Confluence、Jira，檢查兩者程式差異，指出共用的網頁資源元件在處理路徑時具有關鍵變化。這是研究環境中的重現與比對，能支持漏洞並非只有文字描述，也解釋為何多款產品可能一起受影響；它不能證明八款產品在每個客戶環境都已被利用。研究文章包含深入技術細節，本文只引用其防禦判斷，不轉載足以對他人網站直接操作的細節。若管理者需要檢視程式差異，應由獲授權的安全團隊在隔離環境讀取原研究。
影響範圍：原廠列出的八款產品是 Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible 及 Fisheye；各產品在固定版本之前的支線都需要檢查。Bitbucket 的固定版包括 9.4.26、10.2.8、10.5.1；Confluence 為 9.2.26、10.2.19；Jira Software 為 9.12.40、10.3.26、11.3.12。Jira Service Management 另有 5.12.40、10.3.26、11.3.12，Bamboo 為 10.2.24、12.1.12；Crowd 有 6.3.7、7.0.3、7.1.7、7.2.4，Crucible 與 Fisheye 均列 4.9.15。這是各維護支線的固定版清單，不是任何產品都能任選一個版號安裝。維運者應以自己的產品、分支與完整版本核對原廠最新版表，而不是把不同產品的數字直接比較大小。
雲端與自管責任也要分清。Atlassian 表示受影響的 Atlassian Cloud 產品已修補，對雲端客戶沒有額外處置要求，且其調查未找到利用證據；這句話不代表自行維護的 Data Center 節點也已被代為更新。若組織同時使用雲端與本地系統，應把兩者分開列帳。原廠的『未找到利用證據』也不能被改寫成漏洞不可能被利用，更不能反向推斷某家企業必然已遭入侵。watchTowr 在實驗環境驗證技術可能性，與在真實世界觀察到針對特定組織的攻擊是兩種不同證據，應在內部風險通報中清楚區分。
你可以怎麼做：先列出八款產品的所有正式、備援、測試及對外節點，記下產品名稱、版本支線、完整版號、是否直接或經代理伺服器公開，以及由誰維護。優先更新網際網路可達的節點，再依服務重要性和資料敏感度安排其餘節點；CERT-EU 也明確提出這個優先順序。更新前建立可還原的備份、確認維護視窗與回退程序，更新後逐台讀回版號並測試登入、文件、工單或程式碼服務。Data Center 常有多個節點，不能只看單一管理畫面就假設每台都已修補；若某些節點無法同時更新，應在變更紀錄留下負責人、理由和完成期限。
若更新需要等待，Atlassian 建議在可行時先將相關執行個體移離公開網路，連需要帳號登入的公開入口也應限制外部存取。原廠另提供網頁應用程式防火牆或代理伺服器規則，以及部分產品的伺服器層緩解方式；網頁應用程式防火牆是檢查網站請求並阻擋可疑模式的設備或服務。這些措施要按產品和每個節點測試，且只是過渡性風險降低，不能當成程式本身已修補。切換存取政策時也需確認合作夥伴、遠端員工和服務間連線是否受影響，避免緊急阻擋造成另一場營運中斷。本文不刊載過濾規則原文，管理者可直接參照原廠最新指示套用。
調查應與升級並行。CERT-EU 建議檢查受影響系統的存取紀錄，留意可能繞過正常目錄限制的異常請求；原廠也提供具體的日誌檢查方向。先保留原始日誌、時間、來源系統及變更記錄，再由授權應變人員確認是否真的讀到不該公開的檔案。單一可疑請求不必然代表讀取成功，沒有看到可疑請求也不保證所有歷史流量都有被完整記錄。若發現可能暴露的機密資料，應依組織的事故流程評估存取範圍、後續保護與通知義務，而不是單憑漏洞公告就宣稱全面資料外洩。更新完成後仍要保存足夠證據，方便釐清事件是在修補前還是修補後發生。
來源分工與未解問題如下：Atlassian 是受影響產品、固定版、雲端狀態與暫時措施的權威來源；watchTowr 的原始版本比較獨立支持技術可重現性，但不提供任何讀者環境的受害證明；CERT-EU 是獨立公共機構的處置警示，版本清單仍以原廠為準。三份資料今天都可讀取，然而沒有一份包含讀者自己的資產台帳、根目錄檔案清單或完整存取日誌。各組織還需回答：哪些節點可從外部到達、哪些支線尚未達固定版、敏感檔案是否放在相關目錄，以及是否有可核實的異常讀取紀錄。先完成版本與曝險盤點、安裝修補並保留調查資料，比以概括的『已防護』或『已外洩』斷言更能支持後續決策。
官方來源：
- CVE-2026-21589 – Arbitrary File Access Vulnerability impacts Multiple Products（Atlassian）
- You Won’t Hear About These, Even In Myths (Atlassian Jira, Confluence (and more) Pre-Auth Arbitrary File Read CVE-2026-21589)（watchTowr Labs）
- Security Advisory 2026-015: Critical Vulnerability in Multiple Atlassian Products（CERT-EU）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。