CISA zařadila mezi aktivně zneužívané zranitelnosti chybu, která bez přihlášení zpřístupňuje určité soubory v osmi produktech Atlassian. Opravy jsou dostupné, ale správci musí zkontrolovat všechny dotčené instalace, nikoli jen Jiru nebo Confluence.

CVE-2026-21589 získala od Atlassian hodnocení CVSS 4.0 9,3. Umožňuje vzdálenému neautentizovanému útočníkovi číst určité soubory v kořenovém adresáři webové aplikace. Podmínkou je znalost přesného názvu a cesty cílového souboru; chyba neumožňuje vypsat obsah adresářů. Dopad závisí také na tom, zda jsou v dosažitelném prostoru konkrétní instalace citlivé soubory. Nejde o obecný přístup ke všem souborům operačního systému.

Dotčeny jsou Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo a Crowd v edicích Data Center a dále Crucible a Fisheye. Atlassian zveřejnil bezpečnostní oznámení 5. října 2026, CISA chybu přidala do katalogu KEV 15. října. Novou informací je tedy její zařazení mezi prokazatelně zneužívané chyby; nejde o nově vydanou opravu.

Pro Bitbucket jsou opravené verze 9.4.26, 10.2.8 a 10.5.1, pro Confluence 9.2.26 a 10.2.19. Jira Software má opravy ve verzích 9.12.40, 10.3.26 a 11.3.12; Jira Service Management ve verzích 5.12.40, 10.3.26 a 11.3.12. U Bamboo jde o 10.2.24 a 12.1.12, u Crowd o 6.3.7, 7.0.3, 7.1.7 a 7.2.4. Crucible i Fisheye mají opravu ve verzi 4.9.15. Správci mají pro každou používanou větev zvolit odpovídající opravené nebo novější vydání podle tabulky výrobce.

Pokud aktualizaci nelze nasadit ihned, Atlassian doporučuje dočasně omezit dostupnost z internetu nebo použít zveřejněná filtrační pravidla na WAF či reverzní proxy. Pro vybrané produkty nabízí také postup úpravy aplikačního serveru; u Bitbucketu samostatný postup zahrnuje všechny uzly clusteru i zrcadla. Samotná přihlašovací stránka před běžným rozhraním chybu neřeší, protože k jejímu zneužití není účet potřeba. Dočasná ochrana musí pokrýt skutečné přístupové cesty a nenahrazuje aktualizaci.