更新時間：2026/10/21 13:38:28
發佈時間：2026/10/21 13:38:28
TLP：
(White)
得對外公開散布，但不得違反著作權法等相關規定
更新說明：
一、漏洞說明[1]
Atlassian旗下Bitbucket、Confluence、Jira Service Management、Jira Software、Bamboo、Crowd、Crucible及Fisheye等八款產品存在任意檔案存取漏洞（CVE-2026-21589）。未經身分驗證的遠端攻擊者可利用此漏洞，存取網頁應用程式根目錄中的特定檔案。
利用此漏洞須事先得知目標檔案的確切名稱及路徑，且無法透過此漏洞列舉或列出目錄內容。部分系統配置可能存在敏感檔案，進而增加安全風險。
二、已揭露攻擊活動說明
1. CISA已納入漏洞利用清單。[2]
三、SSVC漏洞處置決策方法[3]
利用狀況（Exploitation）: 已遭實際利用（Active）
可否自動化利用（Automatable）: 否（No）
技術影響（Technical Impact）: 完全控制（Total）
▶ 漏洞資訊
⌵
名稱：
CVE-2026-21589
描述：
使用版本：CVSS 4.0-B
分析分數：9.3
參考來源：Atlassian
▶ 影響平台
⌵
影響平台-系統：
1. Bitbucket Data Center：
(1) 9.4系列：9.4.26（不含）之前版本受影響，建議升級至9.4.26或以上修補版本。
(2) 10.2系列：10.2.8（不含）之前版本受影響，建議升級至10.2.8或以上修補版本。
(3) 10.5系列：10.5.1（不含）之前版本受影響，建議升級至10.5.1或以上修補版本。
2. Confluence Data Center：
(1) 9.2系列：9.2.26（不含）之前版本受影響，建議升級至9.2.26或以上修補版本。
(2) 10.2系列：10.2.19（不含）之前版本受影響，建議升級至10.2.19或以上修補版本。
3. Jira Service Management Data Center：
(1) 5.12系列：5.12.40（不含）之前版本受影響，建議升級至5.12.40或以上修補版本。
(2) 10.3系列：10.3.26（不含）之前版本受影響，建議升級至10.3.26或以上修補版本。
(3) 11.3系列：11.3.12（不含）之前版本受影響，建議升級至11.3.12或以上修補版本。
4. Jira Software Data Center：
(1) 9.12系列：9.12.40（不含）之前版本受影響，建議升級至9.12.40或以上修補版本。
(2) 10.3系列：10.3.26（不含）之前版本受影響，建議升級至10.3.26或以上修補版本。
(3) 11.3系列：11.3.12（不含）之前版本受影響，建議升級至11.3.12或以上修補版本。
5. Bamboo Data Center：
(1) 10.2系列：10.2.24（不含）之前版本受影響，建議升級至10.2.24或以上修補版本。
(2) 12.1系列：12.1.12（不含）之前版本受影響，建議升級至12.1.12或以上修補版本。
6. Crowd Data Center：
(1) 6.3系列：6.3.7（不含）之前版本受影響，建議升級至6.3.7或以上修補版本。
(2) 7.0系列：7.0.3（不含）之前版本受影響，建議升級至7.0.3或以上修補版本。
(3) 7.1系列：7.1.7（不含）之前版本受影響，建議升級至7.1.7或以上修補版本。
(4) 7.2系列：7.2.4（不含）之前版本受影響，建議升級至7.2.4或以上修補版本。
7. Crucible、Fisheye：
(1) 4.9系列：4.9.15（不含）之前版本受影響，建議升級至4.9.15或以上修補版本。
註：
(1) 其他未列於上述修補分支的受影響舊版本，建議升級至原廠提供的適用修補版本。
(2) Atlassian Cloud產品已完成修補，Cloud客戶無須採取額外措施。
▶ 建議措施
⌵
1. 官方已發布修補程式，建議會員依據單位內漏洞管理機制進行相關作業。
2. 建議會員檢視受影響系統的存取日誌，依原廠提供的檢查方式及正規表示式，確認是否存在疑似漏洞利用的請求。
3. 若無法立即修補，為降低本漏洞風險，建議採取下列緩解措施：
(1) 儘可能暫時移除受影響系統的網際網路連線，或限制外部網路存取，包括已設定使用者身分驗證的系統。
(2) 依原廠說明，於Web應用程式防火牆（WAF）或代理伺服器設定請求過濾規則。
(3) Confluence、Jira Service Management、Jira Software、Bamboo及Crowd可依原廠說明設定Tomcat RewriteValve；Bitbucket則可透過修改urlrewrite.xml設定過濾規則。
▶ 參考資訊
⌵
| 編號 | 網址 | 說明 |
|---|---|---|
| 1 | https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html | Atlassian |
| 2 | https://www.cisa.gov/known-exploited-vulnerabilities-catalog | CISA |
| 3 | https://nvd.nist.gov/vuln/detail/CVE-2026-21589 | NVD |
情資編號：
FISAC-200-202610-0011
系統目錄：
資安漏洞
資安類別：
漏洞公告 /
影響等級：
3
關鍵字：
弱點漏洞