Atlassian Data Center akses file arbitrer (semua produk DC, dieksploitasi di alam liar, KEV) — pengungkapan file pada platform yang dibaca oleh agen coding AI dan pipeline RAG

CISA menambahkan CVE-2026-21589 ke KEV pada 2026-10-15 (eksploitasi di alam liar terkonfirmasi; batas waktu federal 2026-10-18). Semua versi Bitbucket, Confluence, Jira SM, Jira Software, Bamboo, Crowd, Crucible, dan Fisheye Data Center terpengaruh: penyerang yang tidak terautentikasi yang mengetahui nama/path file secara pasti dapat mengakses file di dalam root aplikasi web. Atlassian menilai ini Kritis (CVSS 9.3 v4.0) dan menyatakan produk Data Center yang terpengaruh 'memerlukan perhatian segera'. Diverifikasi langsung terhadap advisory Atlassian (diterbitkan 2026-10-05, KEV 2026-10-15).

Ini adalah target KEV perangkat pengembang dengan eksploitasi terkonfirmasi, dan produk yang terpengaruh adalah sistem yang persis terhubung dengan agen coding AI (yang membaca konteks Bitbucket/Jira/pull-request) dan basis pengetahuan asisten-AI/RAG (yang mengindeks ruang Confluence). Akses file tanpa autentikasi di root aplikasi web dapat mengekspos file konfigurasi dan rahasia tertanam yang menjadi sandaran kredensial integrasi AI, dan instance Confluence/Jira yang dikompromikan menjadi sumber data dengan kepercayaan tinggi yang akan dibaca secara naif oleh agen AI — penguat injeksi-prompt-tidak-langsung dan eksfiltrasi-kredensial untuk setiap penerapan AI yang dibangun di atasnya.

Penyerang yang tidak terautentikasi dapat mengakses file tertentu di dalam direktori root aplikasi web dari instance Data Center yang terpengaruh dengan meminta nama dan path file secara tepat (tidak ada enumerasi yang memungkinkan). Pada beberapa konfigurasi, file sensitif (termasuk file yang dibaca oleh alat/RAG dan integrasi untuk kredensial) ada, meningkatkan risiko; diperbaiki melalui patch, blokir regex path-traversal WAF, atau aturan Tomcat RewriteValve/urlrewrite.

Produk Atlassian Data Center — semua versi terpengaruh hingga di-patch (Bitbucket, Confluence, Jira SM, Jira Software, Bamboo, Crowd, Crucible, Fisheye semua versi sebelum versi perbaikan yang tercantum)

Patch ke versi yang diperbaiki (misalnya Bitbucket 9.4.26/10.2.8/10.5.1, Confluence 9.2.26/10.2.19, Jira 9.12.40/10.3.26/11.3.12, Bamboo 10.2.24/12.1.12, Crowd 6.3.7+/7.x, Crucible/Fisheye 4.9.15), sesuai advisory Atlassian; hingga saat itu, keluarkan instance dari internet atau terapkan mitigasi pemblokiran path-traversal WAF/Tomcat yang tercantum dalam advisory.