Atlassian Data Center CVE-2026-21589 au CISA KEV : lecture de fichiers sans authentification sur 8 produits

Le 15 octobre 2026, la CISA a ajouté CVE-2026-21589 à son catalogue KEV, avec une échéance au 18 octobre — trois jours. La faille touche presque toute la gamme Atlassian Data Center : Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible et Fisheye.

Le score est « seulement » de 7.5. Ne te fie pas au chiffre : la CISA l'a inscrite parce qu'elle est exploitée.

Ce que fait la faille

This Arbitrary File Access vulnerability allows an unauthenticated attacker to access specific files within the web application root directory in affected versions.

Un attaquant non authentifié peut lire des fichiers situés sous la racine de l'application web. Deux limites, données par Atlassian et reprises par NVD :

• il faut connaître le nom et le chemin exacts du fichier visé ;
• la faille ne permet pas de lister le contenu des répertoires.

Pas d'écriture, pas d'exécution de code : le vecteur est C:H/I:N/A:N, confidentialité seule.

Pourquoi c'est quand même grave

« Il faut connaître le chemin exact » protège moins qu'il n'y paraît. Ces produits sont des logiciels commerciaux distribués à l'identique : l'arborescence de la racine web est la même d'une installation à l'autre. L'attaquant n'a pas à deviner, il sait où chercher.

Atlassian le dit lui-même : selon la configuration, certains fichiers sensibles peuvent rendre la faille très grave. Concrètement, pense à tout ce qui a pu être déposé sous la racine web au fil des années : fichiers de configuration, exports, sauvegardes, personnalisations. Une fuite d'identifiants ou de secrets d'intégration transforme une lecture de fichier en accès complet.

Et la surface est large : un Jira ou un Confluence exposé sur Internet pour les prestataires est courant. Pour aller plus loin sur l'historique Confluence, voir notre article sur les vulnérabilités Atlassian Confluence.

Versions corrigées

La description NVD donne explicitement les versions corrigées, par branche :

Lis le tableau par branche : sur une branche Jira 10.3.x, la cible est 10.3.26 ; sur 9.12.x, 9.12.40. La configuration CPE de NVD mentionne aussi Bitbucket Server 8.14.6, sans que la description en fasse une version corrigée : vérifie dans l'avis Atlassian si ta version Server est couverte. Si ta branche n'apparaît pas du tout, c'est probablement qu'elle n'est plus supportée : il faut migrer vers une branche corrigée.

Détection

• Journaux d'accès du reverse proxy : requêtes non authentifiées vers des chemins inhabituels, en particulier des fichiers statiques ou de configuration qui ne sont jamais demandés en usage normal.
• Rafales de 404 suivies de 200 depuis une même source : signe de sondage sur des chemins connus.
• Inventaire de la racine web : liste ce qui s'y trouve qui ne fait pas partie de l'installation standard (sauvegardes, exports, fichiers laissés par un script).
• Utilisation des secrets stockés sur le serveur (comptes de service, jetons d'intégration) depuis une origine inattendue.

Mitigation

1. Mettre à jour vers la version corrigée de ta branche sur chaque produit concerné, avant le 18 octobre si tu es soumis à la directive CISA — et le plus tôt possible sinon.
2. Si la mise à jour ne peut pas être immédiate : retirer l'exposition Internet directe et passer par un VPN ou un proxy authentifiant.
3. Nettoyer la racine web : rien qui ne fasse partie de l'application ne doit s'y trouver.
4. En cas de doute sur une exposition passée : considérer comme lus les fichiers sensibles accessibles sous la racine web et faire tourner les secrets qu'ils contiennent.

Pourquoi surveiller en continu votre parc Atlassian

Huit produits, une vingtaine de branches, des versions corrigées différentes pour chacune : savoir en trois jours quel serveur doit passer en quelle version suppose d'avoir l'inventaire avant l'alerte, pas après.

Avec cveo.tech, inventorie tes instances Atlassian avec leur version exacte et reçois une alerte dès qu'une CVE au CISA KEV les concerne.