Atlassian CVE-2026-21589: файл по известному имени, без входа и без списка каталога

Бюллетень Atlassian от 5 октября описывает CVE-2026-21589 без лишней драмы и без смягчения. Вход не нужен. Можно прочитать конкретный файл внутри корня веб-приложения, если заранее знать его имя и путь. Получить список каталога эта ошибка не даёт. Оценка Atlassian - 9.3. Облачные продукты они уже поправили и пишут, что следов эксплуатации там не нашли. Data Center, который стоит у вас, облачный патч не наследует.

Кого обновлять

• Jira Software Data Center: 9.12.40, 10.3.26 или 11.3.12.
• Jira Service Management: 5.12.40, 10.3.26 или 11.3.12.
• Confluence Data Center: 9.2.26 или 10.2.19.
• Bitbucket Data Center: 9.4.26, 10.2.8 или 10.5.1.
• Bamboo: 10.2.24 или 12.1.12. Crowd: 6.3.7, 7.0.3, 7.1.7 или 7.2.4. Crucible и Fisheye: 4.9.15.

Имя файла угадывать в заметке мы не будем: бюллетень как раз говорит, что риск выше там, где внутри корня приложения лежит что-то секретное. Нормальная реакция - убрать такие файлы из этого каталога и поставить сборку своей ветки. Инстанс, опубликованный в интернет «чтобы подрядчик заходил», стоит первым в очереди. CERT-EU отдельно просит смотреть журналы доступа, не только номер версии.