注意喚起2026.10.15

Jira・Confluenceなど自社運用のアトラシアン製品に悪用済みの脆弱性。認証なしでファイルを読まれるおそれ

2分で読める
一次資料2件
セキュリティ図鑑編集部

9.3

CVE-2026-21589のCVSS（4.0）

Critical

8製品

対象のData Center製品

Jira・Confluenceなど

10月15日

CISAがKEVに追加

悪用を確認

SUMMARY

要点をまとめると

01
アトラシアンは2026年10月5日、Jira、Confluence、Bitbucketなど8製品のData Center版で、認証なしにWebアプリ内の特定のファイルを読まれる脆弱性（CVE-2026-21589、CVSS 9.3）を公表しました。
02
米CISAは10月15日に悪用確認済みの一覧（KEV）へ追加。
03
自社運用の会社は、修正版への更新か外部からの切り離しを急いでください。

TO DO

やること全4つと手順を見る →

この記事をスライドで理解する（6枚）

1 / 6

この記事の流れ

Jira・Confluenceなど自社運用のアトラシアン製品に悪用済みの脆弱性。認証なしでファイルを読まれるおそれ

何を読まれるの？

Webアプリの中にある特定のファイルです。名前と場所を知っている必要がありますが、構成によっては重要なファイルが含まれます。

9.3CVE-2026-21589のCVSS（4.0）

8製品対象のData Center製品

10月15日CISAがKEVに追加

数字で見る

数字で見ると、こうなります

CVE-2026-21589のCVSS（4.0）：9.3／対象のData Center製品：8製品

10月5日アトラシアンが公表8製品のData Center版。CVSS 9.3

10月15日CISAがKEVに追加悪用を確認。調査が必要な対象

POINT 1

発表されている事実

何を読まれるの？

Webアプリの中にある特定のファイルです。名前と場所を知っている必要がありますが、構成によっては重要なファイルが含まれます。

本文で読む

Data CenterConfluence9.2.26、10.2.19が修正版

Data CenterJira9.12.40、10.3.26、11.3.12が修正版

対象外クラウド版修正済み。作業は不要

POINT 2

自社が対象か確かめる

クラウド版を使っているけど？

クラウド版は修正済みで、作業は要りません。自社のサーバーで動かすData Center版が対象です。

本文で読む

STEP 1修正版へメンテナンスリリースで更新

STEP 2外から切り離す修正までは外部からの接続を止める

STEP 3回避策WAFやRewriteValveで「..」を含むURLを止める

STEP 4ログを調べるURLをデコードして同じパターンを探す

POINT 3

今すぐやること

すぐ更新できないときは？

修正するまでインターネットから切り離すよう、アトラシアンは求めています。WAFで怪しいURLを止める方法もあります。

本文で読む

修正版へ更新する。

すぐ更新できないならインターネットから外す。

回避策を入れる。

まとめ

今すぐやること

くわしい手順と出典は、本文で確かめてください。

本文で読む

課題管理のJiraや社内wikiのConfluenceなど、アトラシアンの製品を自社のサーバーで動かしている会社に関係する脆弱性です。認証していない攻撃者が、Webアプリの中にある特定のファイルを読み出せるおそれがあり、米CISAが実際の悪用を確認しました。

01発表されている事実

社長

何を読まれるの？

Webアプリの中にある特定のファイルです。名前と場所を知っている必要がありますが、構成によっては重要なファイルが含まれます。

ハカセ

10月5日アトラシアンが公表

8製品のData Center版。CVSS 9.3

10月15日CISAがKEVに追加

悪用を確認。調査が必要な対象

10月5日
アトラシアン
CVE-2026-21589を公表（深刻度Critical、CVSS 4.0で9.3）。修正版と回避策を案内
10月15日
CISA
KEVに追加。調査（フォレンジック）が必要な対象に指定

アトラシアンによると、悪用には対象のファイルの正確な名前と場所を知っている必要があり、フォルダの一覧は見られません。ただし、構成によっては重要なファイルが置かれていて、危険が大きくなるとしています。クラウド版は修正済みで、悪用の形跡はなく、利用者の作業は要りません。

02自社が対象か確かめる

社長

クラウド版を使っているけど？

クラウド版は修正済みで、作業は要りません。自社のサーバーで動かすData Center版が対象です。

ハカセ

Data CenterConfluence

9.2.26、10.2.19が修正版

Data CenterJira

9.12.40、10.3.26、11.3.12が修正版

対象外クラウド版

修正済み。作業は不要

対象は、次の製品のData Center版で、修正版より前のすべての版です。

Confluence：9.2.26、10.2.19
Jira Software：9.12.40、10.3.26、11.3.12
Jira Service Management：5.12.40、10.3.26、11.3.12
Bitbucket：9.4.26、10.2.8、10.5.1
Bamboo：10.2.24、12.1.12
Crowd：6.3.7、7.0.3、7.1.7、7.2.4
Fisheye・Crucible：4.9.15

版は、各製品の管理画面の「システム情報」や、画面の一番下に表示されます。

03今すぐやること

社長

すぐ更新できないときは？

修正するまでインターネットから切り離すよう、アトラシアンは求めています。WAFで怪しいURLを止める方法もあります。

ハカセ

STEP 1修正版へ

メンテナンスリリースで更新

STEP 2外から切り離す

修正までは外部からの接続を止める

STEP 3回避策

WAFやRewriteValveで「..」を含むURLを止める

STEP 4ログを調べる

URLをデコードして同じパターンを探す

修正版へ更新する。アトラシアンは個別のパッチを出しておらず、修正はメンテナンスリリースで提供されます。
すぐ更新できないならインターネットから外す。アトラシアンは、ログインが必要な画面であっても、修正するまで外部からの接続を止めるよう求めています。
回避策を入れる。WAFやプロキシで、「..」とパスの区切りなどが並ぶURL（URLエンコードされたものも含む）を止める方法が示されています。Confluence、Jiraなどでは、TomcatのRewriteValveで止める方法もあります。
アクセスログを調べる。アトラシアンは、侵害されたかどうかは確認できないとして、リクエストのURLを2回までデコードして同じパターンを探すよう勧めています。見つかれば、設定ファイルにあるパスワードや鍵を入れ替えます。