Atlassian은 자사 자체 호스팅 제품 8개의 모든 버전에 영향을 미치는 치명적 취약점을 해결하기 위한 보안 업데이트를 발표했다. 이 취약점은 CVE-2026-21589로 식별되며 CVSS 기준 9.3점으로 평가되었고, 무작위 파일 접근을 허용하는 결함으로 분류됐다.
이 취약점은 인증 없이 악용해 웹 애플리케이션의 루트 경로에 있는 특정 파일에 접근할 수 있다. Atlassian은 악용하려면 대상 파일의 이름과 정확한 경로를 알고 있어야 하며, 공격자가 디렉터리 내용을 열람하거나 디렉터리를 열거할 수는 없다고 설명했다. 그러나 일부 구성에는 침해 영향을 키울 수 있는 민감한 파일이 포함될 수 있다.
영향받는 제품 및 해결된 버전
영향받는 제품에는 Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible, Confluence Data Center, Fisheye, Jira Service Management Data Center, Jira Software Data Center가 포함된다.
수정 사항이 포함된 버전은 Bitbucket 9.4.26, 10.2.8, 10.5.1, Bamboo 10.2.24, 12.1.12, Confluence 9.2.26, 10.2.19, Crowd 6.3.7, 7.0.3, 7.1.7, 7.2.4이며, Crucible과 Fisheye에는 4.9.15 버전이 적용됐다. 또한 회사는 Jira Service Management의 5.12.40, 10.3.26, 11.3.12 버전과 Jira의 9.12.40, 10.3.26, 11.3.12 버전에서도 결함을 해결했다.
조직은 무엇을 해야 하는가?
Atlassian은 조직에 자체 호스팅 배포 환경을 가능한 한 신속하게 업데이트하거나, 수정 사항을 설치할 때까지 인스턴스를 인터넷에서 분리할 것을 권고했다. 또한 회사의 공지는 사용자 인증을 사용하는 인스턴스라도 외부 접근을 제한할 것을 요청하며, 즉시 업데이트할 수 없는 경우를 위한 임시 완화 방안도 제시한다.
이 소식이 중요한 이유
이 취약점의 위험성은 인증이 필요하지 않다는 점과 광범위한 협업, 프로젝트 관리 및 소프트웨어 개발 도구에 걸쳐 존재한다는 점이 결합된 데 있다. WatchTowr에 따르면, 유사한 유형의 취약점은 과거 랜섬웨어 조직과 지능형 지속 위협 세력이 악용한 바 있으며, Atlassian 제품의 보안 취약점 8개는 현재 CISA의 알려진 악용 취약점 목록에 포함돼 있다.
WatchTowr는 특히 Crowd를 통한 싱글 사인온을 사용하는 조직에 주의를 당부했다. 인증 데이터가 평문으로 예측 가능한 경로에 저장될 수 있어, Crowd 엔드포인트에 원격으로 접근할 수 있는 경우 이를 추출하고 관리자 사용자를 생성할 수 있다는 것이다. 회사의 위협 인텔리전스 전문가 Yordan Ganchev는 즉시 수정 사항을 적용하거나 Atlassian의 지침에 따라 악용 시도를 차단하는 WAF 규칙을 배포할 것을 제안했다.
Atlassian과 WatchTowr에 따르면, 게시 시점까지 실제 공격에서 CVE-2026-21589가 악용됐다는 증거는 없다. 그러나 이 사실이 대응의 우선순위를 낮추지는 않는다. 특히 출처는 각 환경에서 어떤 파일이 민감할 수 있는지 특정하지 않았고, 모든 구성이 동일한 수준으로 노출된다는 점도 입증하지 않았다.