【Linktech 資安神隊友】Atlassian 2026 年 10 月安全公告
Atlassian 已修補一個嚴重等級（CVSS 9.3）的任意檔案存取漏洞 CVE-2026-21589，影響 Jira、Confluence、Bitbucket 等 8 款自建（Data Center / Server）產品，且公開後數小時內即遭駭客實際利用。若您的企業使用上述自建產品，請立即確認版本，並儘速完成升級。
本文整理漏洞重點、受影響版本、建議處置，以及無法立即升級時的臨時防護做法。
Atlassian Cloud 雲端版本已由原廠修補，無需另行處理。
｜漏洞是什麼？
CVE-2026-21589 讓未經登入的攻擊者，可以透過路徑穿越（Path Traversal）讀取系統上的敏感設定檔。
• 威脅： 無需任何帳號，即可從遠端讀取 Web 應用程式根目錄下的特定檔案。
• 後果： 攻擊者可取得 WEB-INF/web.xml、crowd.properties 等設定檔，進而拿到管理員憑證、驗證 Token 與系統機密，最終完全接管系統。
• 限制： 攻擊者需知道目標檔案的確切名稱與路徑，無法直接列出目錄。但常見設定檔的位置是公開資訊，這個限制的保護效果有限。
• 雲端版： Atlassian Cloud 不受影響。
｜已遭實際攻擊，請視為最高等級事件
資安研究機構 watchTowr 公開技術分析與概念驗證程式（PoC）後，資安公司 Previdian 的蜜罐網路在 2 小時內就觀察到攻擊嘗試；CERT-EU 亦已發布警示。目前攻擊者正以自動化掃描工具，大量搜尋暴露在網際網路上的受影響系統。
對外開放的 Jira、Confluence、Bitbucket 等系統風險最高，建議優先處理。與 Crowd 整合的 Jira 環境中，研究人員已示範可利用外洩的憑證建立 Jira 管理員帳號。
｜受影響產品與修補版本
低於下表版本的產品皆受影響。請升級至您所在版本線對應的修補版本（或更新版本）。
產品 | 已修補版本 |
Jira Software Data Center | 9.12.40、10.3.26、11.3.12 |
Jira Service Management Data Center | 5.12.40、10.3.26、11.3.12 |
Confluence Data Center | 9.2.26、10.2.19 |
Bitbucket Data Center | 9.4.26、10.2.8、10.5.1 |
Bamboo Data Center | 10.2.24、12.1.12 |
Crowd Data Center | 6.3.7、7.0.3、7.1.7、7.2.4 |
Crucible | 4.9.15 |
Fisheye | 4.9.15 |
｜建議處置
1. 立即升級（根本解法）： 升級至修補版本是唯一能完全消除風險的做法。Data Center 叢集、跨大版本升級或外掛套件較多的環境，建議由專業團隊規劃升級與回退方案，降低停機風險。
2. 無法馬上停機時，先做臨時防護： 套用下一節的 WAF / Proxy 或 Tomcat 規則，或暫時切斷該系統的對外連線，直到完成升級。
3. 檢查是否已被入侵： 將存取日誌（Access Log）解碼後，搜尋針對敏感路徑的異常請求，例如緊鄰斜線的 .. 字串。若發現可疑痕跡，請立即更換所有可能外洩的帳密、Token 與金鑰。
｜無法立即升級時的臨時防護
以下兩種方式擇一或並用，只能降低風險，不能取代升級。
方式一：在 WAF / Proxy 攔截
在 Web 應用程式防火牆（WAF）或反向代理伺服器建立規則，阻擋所有包含 .. 且緊鄰 /、\ 或 :: 的請求。規則必須同時涵蓋 URL 編碼後的寫法，避免攻擊者以編碼繞過。
方式二：在 Tomcat 層以 RewriteValve 封鎖
適用 Confluence、Jira、Jira Service Management、Bamboo 與 Crowd。Bitbucket 另有專用規則，請聯繫我們取得。Data Center 多節點叢集，每一個節點都要做一次。操作前請先備份系統與設定檔。
步驟 1：停止服務並修改 Tomcat 設定
1. 停止該節點的服務。
2. 找到並備份設定檔：
o Confluence / Jira / JSM / Bamboo：conf/server.xml
o Crowd：apache-tomcat/conf/Catalina/localhost/crowd.xml 或 apache-tomcat/conf/server.xml（以含有 <Context> 標籤者為準）
3. 在該應用程式的 <Context> 標籤內加入這一行：
<Valve className="org.apache.catalina.valves.rewrite.RewriteValve" /> |
步驟 2：建立 rewrite.config 攔截規則
1. 找到應用程式的 WEB-INF 目錄：
o Confluence：confluence/WEB-INF
o Jira / JSM：atlassian-jira/WEB-INF
o Bamboo：bamboo/WEB-INF 或 atlassian-bamboo/WEB-INF
o Crowd：crowd-webapp/WEB-INF
2. 若已有 rewrite.config，先備份，再將下方內容附加到檔案最後；若沒有，就新建此檔並貼上下方內容。
# Primary check: Tomcat's decoded, normalized request path (no query string).RewriteCond %{REQUEST_PATH} (?is).*(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2})(?:\.|%(?:25)*2e){2}(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2}|;|%(?:25)*3b|$).*RewriteRule (?s)^.*$ /?denied [F,L]# Raw-URI fallbackRewriteCond %{REQUEST_URI} (?is).*(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2})(?:\.|%(?:25)*2e){2}(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2}|;|%(?:25)*3b|$).*RewriteRule (?s)^.*$ /?denied [F,L] 3. |
規則內容與 Atlassian 官方提供的 rewrite.config 相同。
步驟 3：重啟並驗證
1. 重新啟動該節點的服務。
2. 用測試工具送出帶有路徑穿越特徵的請求，確認系統回傳 403 Forbidden，即表示規則已生效。
｜關於友環企業 Linktech
友環企業股份有限公司（Linktech）是台灣的 Atlassian 合作夥伴，專注於 DevOps 與團隊協作平台的導入、升級與維運，長期服務金融、製造、科技等受監管與大型企業環境。
• Atlassian 全系列： Jira、Jira Service Management、Confluence、Bitbucket、Bamboo、Crowd 的 Data Center 建置、版本升級、資料庫遷移，以及從 Data Center 搬遷至 Atlassian Cloud。
• DevOps / DevSecOps 工具鏈： JFrog Artifactory / Xray、GitLab、SonarQube、Mattermost 等產品的規劃、POC 與導入。
• 原廠線與在地支援： 協助客戶與原廠溝通技術工單，提供中文在地的問題排除與維護服務。
需要協助處理 CVE-2026-21589？
我們可以協助您盤點受影響的系統與版本、套用臨時防護規則、檢查日誌，並規劃低停機的升級與回退方案。請直接聯繫您的 Linktech 專案經理（PM），我們將儘快為您安排工程團隊。
👉 Linktech 團隊洽詢方式：
Tel: 02-7752-7658
email: sales@linktech.com.tw
留言