アトラシアンのData Center製品群に深刻な脆弱性、認証不要で内部ファイルを閲覧される恐れ

要点

• アトラシアンは自社ホスト型Data Center製品など8製品に影響する深刻な脆弱性「CVE-2026-21589」を公表した。

• ログイン権限を持たない攻撃者が、Webアプリケーションのルートディレクトリ内にある既知のファイルを閲覧できる状態になる。

• 深刻度を示すCVSSスコアは9.3と評価されており、同社は修正版への更新や外部からのアクセス制限を呼びかけている。

• クラウド版製品にはすでに修正パッチが適用済みであり、ユーザー側での追加対応は不要とされている。

• 米豪のアトラシアン（Atlassian）は2026年10月5日、顧客自身がサーバーを運用する「Data Center」製品を含む8つのソフトウェアに重大な脆弱性が存在することを明らかにした。本脆弱性「CVE-2026-21589」の深刻度スコアは10点満点中9.3（CVSS）と極めて高く、認証を経ていない外部の攻撃者がサーバー内部の特定ファイルを閲覧できる危険性がある。同社は対象製品の管理者に対し、修正済みバージョンへの速やかなアップデートを推奨している。

認証不要で特定ファイルを読み取れるパストラバーサル

発表によると、本脆弱性は「パストラバーサル」（ファイルパスの指定を細工して、本来アクセスできない領域のファイルを読み出す攻撃手法）に分類される。攻撃者はアカウントへのログインなどの認証を一切経ることなく、各製品が配置されているWebアプリケーションのルートディレクトリ（Webアプリケーション本体が格納されたサーバー上の親フォルダ）にある特定ファイルを閲覧できるという。

ただし、ファイルを閲覧するには対象の正確なファイル名とパスを事前に把握している必要があり、ディレクトリ内のファイル一覧を取得する機能は備わっていない。そのため、無作為にファイルを探索することはできない仕様となっている。それでも、サーバーの設定によってはルートディレクトリ内に機密情報を含む重要ファイルが配置されている場合があり、これがセキュリティ上のリスクを高める要因になっていると同社は説明している。

影響を受ける8製品と公開された修正バージョン

対象となるのは、オンプレミス環境や自社インフラで運用される主要なData Center製品および関連ツールだ。「Bitbucket Data Center」「Confluence Data Center」「Jira Software Data Center」「Jira Service Management Data Center」「Bamboo Data Center」「Crowd Data Center」「Crucible」「Fisheye」の計8製品が影響を受ける。

アトラシアンは、修正版より前のすべてのバージョンが影響対象になるとしており、サポート終了済みの旧版も含まれる可能性があるとしている。そのため、修正が含まれる長期サポート（LTS）バージョン以降へのアップグレードを推奨しており、案内されている主な修正バージョンは以下のとおりである。

• Bitbucket Data Center：9.4.26、10.2.8、10.5.1
• Confluence Data Center：9.2.26、10.2.19
• Jira Software Data Center：9.12.40、10.3.26、11.3.12
• Jira Service Management Data Center：5.12.40、10.3.26、11.3.12
• Bamboo Data Center：10.2.24、12.1.12
• Crowd Data Center：6.3.7、7.0.3、7.1.7、7.2.4
• Crucible／Fisheye：4.9.15

なお、同社が提供するクラウドサービス版製品についてはすでに同社側でパッチ適用が完了しており、ユーザー側で必要な対応はない。「Bitbucket Cloud」についても本脆弱性の影響を受けないとしている。

公式ドキュメント間の食い違いと旧Server版の状況

今回の発表をめぐっては、公開された技術資料の間でバージョン表記に食い違いが生じている点も指摘されている。Crowdの課題管理チケットでは7.1系統の修正版として「7.1.7」が指定されている一方、同じチケット内の表には「7.1.6」と記載されており、さらに7.1.6自体が影響を受けるバージョンとしてもリストアップされている矛盾が見られた。

また、アトラシアンが登録したCVEレコードでは、Crowdの修正版が「7.1.1」（公式リリースノート上は脆弱性開示の10か月以上前となる2025年11月公開の版）と記載されているほか、Bambooでも「10.2.4」と「10.2.24」の記述が混在している。さらに、公式アドバイザリでは言及がなかった旧来のオンプレミス製品「Server」版についても、CVEレコード上では全バージョンが影響対象とされ、修正版が提示されていない製品が多い。Crowd Serverのように2023年9月を最後にリリースが停止している製品もあり、旧環境の扱いには注意が必要だ。

一時的な緩和策と過去のアクセスログ調査

修正版への即時アップデートが困難な環境について、アトラシアンは可能であれば該当インスタンスをオフラインにするよう助言している。ログインを要求する設定であっても、インターネットから到達可能な環境にあるインスタンスは、更新または遮断ルールが適用されるまで外部アクセスを制限することが推奨される。

暫定的な緩和策として、URLにスラッシュやバックスラッシュ、コロンに隣接する「..」が含まれる通信を遮断するルールが提示されている。全8製品でWAF（Web通信を監視して不正アクセスを遮断するシステム）やリバースプロキシによる遮断が利用できるほか、製品に応じてTomcatのRewriteValve設定や「urlrewrite.xml」の変更でも対応できるが、いずれもパッチ適用の代替にはならないという。

なお、アドバイザリでは自社ホスト環境での実際の悪用被害には言及されておらず、アトラシアン側では侵害の有無を確認できないとしている。同社はセキュリティチームに対し、アクセスログのリクエスト行を最大2回URLデコードして不正アクセスの痕跡を調査するよう案内している。