ZONE.CI 全球网

CVE-2026-21589是影响Atlassian八款自托管产品（含Bitbucket、Confluence、Jira等）的任意文件读取漏洞，CVSS评分9.3，无需登录即可利用且已被在野利用。攻击者需已知文件路径，可读取Web根目录内敏感文件。文章提供了各产品修复版本、日志检测特征及临时缓解措施，建议优先升级并排查暴露面。

CVE-2026-21589影响Atlassian多款产品，源于共享库路径穿越缺陷，未授权可读取WEB-INF下任意文件，Jira集成Crowd场景可升级为管理员接管。建议立即升级至修复版本，排查日志并轮换凭据，临时下线公网或配置访问限制。

摄星科技关键漏洞目录新增3个漏洞：Atlassian多款产品存在任意文件读取漏洞（CVE-2026-21589，超危，CVSS9.3），可未认证远程利用，甚至接管系统；Fortinet多款产品存在路径遍历漏洞（CVE-2025-61624，中危）；BeyondTrustRemoteSupport存在身份验证绕过漏洞（CVE-2026-102764，超危，CVSS9.3）。建议用户及时关注厂商补丁并升级修复。

CVE-2026-21589影响Atlassian多款产品，源于共享库路径穿越缺陷，未授权可读取WEB-INF下任意文件，Jira集成Crowd场景可升级为管理员接管。建议立即升级至修复版本，排查日志并轮换凭据，临时下线公网或配置访问限制。

Atlassian披露CVE-2026-21589严重漏洞，CVSS评分9.3，影响Confluence、Jira等8款自托管产品。攻击者无需认证即可利用双重URL解码缺陷实现任意文件读取，可能导致凭据泄露和权限提升。建议立即升级至安全版本，或采取网络隔离、WAF过滤等临时缓解措施。

文档汇总了多项网络安全事件：Citrix修复高危漏洞CVE-2026-107406；加拿大Aldo集团遭Clop勒索团伙暗网泄露424GB数据；WolfSSH修复严重身份验证绕过漏洞；恶意npm包窃取浏览器密码等；黑客滥用必应重定向发起ClickFix攻击；勒索软件攻击致日本IDCF云服务中断；Atlassian存在未授权文件读取漏洞。建议关注相关补丁与威胁情报。

Atlassian多款DataCenter产品存在预认证任意文件读取漏洞CVE-2026-21589，源于共享库路径处理缺陷，攻击者利用双冒号绕过路径规范化，无需认证即可读取WEB-INF下敏感文件，CVSS评分9.3。墨云VackBot已支持检测。建议及时升级至官方修复版本，并排查资产风险。

Atlassian旗下Jira等多款自托管产品曝出CVE-2026-21589未授权任意文件读取漏洞，CVSS评分9.3，攻击者无需身份验证即可远程读取敏感文件。官方云端不受影响。建议立即升级至官方安全修复版本，无法立即升级时可通过访问控制、WAF拦截路径遍历字符等临时缓解措施，并排查异常访问日志。

360漏洞研究院披露Atlassian多款产品存在未授权文件读取漏洞CVE-2026-21589，CVSS评分9.3，影响Bitbucket、Confluence、Jira等多款DataCenter产品。攻击者可读取Web应用根目录内文件造成敏感信息泄露，POC已公开。建议受影响用户尽快升级至修复版本，并关注360产品检测规则更新。

Atlassian官方修复Jira等八款产品中存在的未认证任意文件读取漏洞CVE-2026-21589，攻击者可利用路径遍历读取webroot内任意文件，在部署Crowd环境中可进一步获取明文凭据并创建管理员账户实现完全接管。该漏洞无需用户权限且已有POC，影响范围广泛，官方已发布修复方案，建议受影响用户尽快升级或采取临时缓解措施。

CVE-2026-21589影响Atlassian全线产品共享库atlassian-plugins-webresource，官方2026年10月5日发布带外公告修复。漏洞源于URL转义顺序颠倒导致路径穿越，可读取webapp内任意文件如web.xml、crowd.properties等敏感配置，实测可整包拖走JAR文件。攻击者还可利用泄露的crowd.properties创建管理员账号接管系统。建议立即升级至修复版本并排查日志。

奇安信CERT发布Atlassian多款产品任意文件读取漏洞CVE-2026-21589通告，该漏洞源于共享库双重URL解码缺陷，未认证攻击者可读取WEB-INF等目录文件，导致配置与凭据泄露，CVSS评分9.3，影响Bitbucket、Confluence、Jira等多款产品，POC已公开。建议受影响用户升级至修复版本，无法立即升级时限制外部网络访问。

CVE-2026-21589是Atlassian多款DataCenter产品共用的WebResource组件中的未认证文件读取漏洞，CVSS9.3。根因是路径规范化后缺少目录边界检查，攻击者可通过双冒号编码穿越至WEB-INF读取配置文件。结合Crowd集成可进一步获取应用凭据，可能升级为身份系统控制。建议优先升级至修复版本，限制公网访问，部署官方正则规则，排查日志并轮换暴露凭据。

Atlassian多款产品存在任意文件读取漏洞CVE-2026-21589，CVSS评分9.3，等级严重，无需认证即可远程利用且PoC已公开。影响Bitbucket、Confluence、Jira、Bamboo、Crowd等DataCenter产品。建议受影响用户尽快升级至修复版本，无法升级时限制公网访问并配置WAF拦截路径遍历请求，同时加强日志审计。

Atlassian警告自托管DataCenter产品存在严重任意文件访问漏洞CVE-2026-21589，影响Confluence、Jira、Bitbucket等产品。未认证攻击者需知悉确切文件路径方可利用，无法枚举目录。官方已发布修复版本，建议立即更新；若无法修复，可限制外部访问、配置WAF或重写规则等临时缓解措施。目前无在野利用证据，但建议检查访问日志。

Atlassian多款DataCenter产品存在CVE-2026-21589路径遍历漏洞，未认证攻击者可读取webroot内文件，接入Crowd时可获取明文凭据。官方已发布修复版本，建议优先处置公网暴露实例，升级或启用临时缓解措施，并审计日志排查利用痕迹。

本周网络安全热点包括AI智能体越权事件、高危漏洞密集修复、安全事件与攻击、政策法规变化和产业动态。AI智能体越权事件涉及OpenAI和维基媒体基金会，高危漏洞包括Atlassian、LibreOffice、Zimbra、Citrix和Fortinet产品，安全事件包括丹麦CPR人口登记系统泄露和FBI解雇承包商等。政策法规方面，Google暂停开源软件漏洞赏金计划，澳大利亚ASIC启动对银行业AI使用情况的专项审查。产业动态包括Pwn2OwnIreland2026首日成果和Osavul完成A轮融资等。

Atlassian多产品存在未授权任意文件读取漏洞CVE-2026-21589，影响Bitbucket、Confluence、Jira等多款DataCenter产品。漏洞源于atlassian-plugins-webresource组件路径解析缺陷，远程攻击者无需认证即可读取任意文件，若接入Crowd统一认证还可获取明文凭据。官方已发布修复方案，建议升级或采取临时缓解措施。

Atlassian发布高危漏洞CVE-2026-21589，影响八款自托管产品，评分9.3，无需认证即可路径穿越读取文件。攻击链可借读取crowd.properties凭证接管管理员，仅Confluence在线实例近70万。建议立即升级补丁或从公网摘除实例，并检查访问日志。

AtlassianDataCenter多款产品存在高危漏洞CVE-2026-21589，未认证攻击者可读取web根目录下已知文件，导致敏感信息泄露。官方已发布安全版本，建议企业立即升级，无法升级时需采取网络隔离、WAF拦截等临时缓解措施，并清理web目录敏感文件。

本文由弥天安全实验室发布，成功复现了Atlassian多款产品（包括Jira、Confluence、Bitbucket等）中的任意文件读取漏洞CVE-2026-21589。漏洞源于atlassian-plugins-webresource组件对URL中::转义处理不当，攻击者无需认证即可构造恶意请求绕过路径检查，读取webroot内任意文件，在部署Crowd环境下可进一步获取明文凭据并接管系统。文章列出了受影响版本范围、复现POC及修复建议，建议用户尽快升级补丁并部署安全设备进行防护。

本文分析Atlassian多产品CVE-2026-21589未授权任意文件读取漏洞，影响Jira、Confluence等DataCenter产品全部历史版本，CVSS评分9.3。漏洞源于组件库路径处理缺陷，攻击者可利用…::绕过校验实现目录穿越，读取敏感配置，进而可接管Crowd并实现RCE。建议升级至修复版本或采取WAF拦截等临时缓解措施。

Atlassian多款产品存在CVE-2026-21589任意文件读取漏洞，源于atlassian-plugins-webresource组件将URL中::视为/转义，攻击者可未授权构造…::绕过校验读取Tomcat根目录任意文件，若部署Crowd可获取明文凭证并新建管理员实现接管。影响Bitbucket、Confluence、Crowd、Jira等众多版本，文章提供复现测试及免责声明。

Atlassian数据中心产品存在CVE-2026-21589严重任意文件访问漏洞，CVSS评分9.3，影响Bitbucket、Confluence、Jira等多款产品。该漏洞为路径遍历缺陷，双冒号可被识别为路径分隔符，攻击者可读取Web根目录下敏感文件。漏洞技术细节公开两小时内即遭在野利用，攻击来源为日本和美国。Atlassian已发布修复版本，建议用户将实例从公网下线或配置WAF规则拦截恶意请求。

本文介绍Atlassian系统任意文件读取漏洞CVE-2026-21589的复现方法，影响Bitbucket、Confluence、Crowd、Jira等多款DataCenter产品，给出了具体受影响版本范围及利用POC示例，可读取WEB-INF等敏感文件，建议相关用户尽快升级修复。