事件经过
CISA于2026-10-15将CVE-2026-21589加入KEV（确认在野利用；联邦截止日期2026-10-18）。Bitbucket、Confluence、Jira SM、Jira Software、Bamboo、Crowd、Crucible和Fisheye Data Center的所有版本均受影响：未认证攻击者若知道文件的确切名称/路径，可访问Web应用根目录内的文件。Atlassian将其评为严重等级（CVSS 9.3 v4.0），并声明受影响的Data Center产品“需要立即关注”。已直接对照Atlassian公告（发布于2026-10-05，KEV 2026-10-15）进行核实。
影响分析
这是已确认被利用的开发者工具类KEV目标，受影响产品恰好是AI编码代理（读取Bitbucket/Jira/拉取请求上下文）和AI助手/RAG知识库（索引Confluence空间）所接入的系统。Web应用根目录中的未认证文件访问可暴露配置文件及AI集成凭据所依赖的嵌入密钥，而受感染的Confluence/Jira实例会成为AI代理会天真读取的高信任数据源——对于构建在其之上的任何AI部署，这相当于一个间接提示注入和凭据泄露放大器。
攻击途径
未认证攻击者通过请求确切文件名和路径（无法枚举），可访问受影响Data Center实例Web应用根目录中的特定文件。在某些配置下，敏感文件（包括AI/RAG工具和集成读取凭据的文件）存在，增加了风险；可通过补丁、WAF路径遍历正则拦截或Tomcat RewriteValve/urlrewrite规则修复。
受影响系统
Atlassian Data Center产品——在打补丁前所有版本均受影响（Bitbucket、Confluence、Jira SM、Jira Software、Bamboo、Crowd、Crucible、Fisheye所有在列出的修复版本之前的版本）
缓解措施
按照Atlassian公告，修补至固定版本（例如Bitbucket 9.4.26/10.2.8/10.5.1、Confluence 9.2.26/10.2.19、Jira 9.12.40/10.3.26/11.3.12、Bamboo 10.2.24/12.1.12、Crowd 6.3.7+/7.x、Crucible/Fisheye 4.9.15）；在此之前，将实例从互联网断开，或应用公告中列出的WAF/Tomcat路径遍历拦截缓解措施。