Atlassian heeft een kwetsbaarheid gedicht die alle versies van zijn Data Center-producten treft, waaronder Jira, Confluence, Bitbucket, Bamboo en Crowd. Het lek staat geregistreerd als CVE-2026-21589 en kreeg een CVSS 4.0-score van 9,3. Het bedrijf adviseert beheerders van on-premise omgevingen om direct te updaten.
Met de score van 9,3 valt de kwetsbaarheid in de hoogste ernstcategorie van het CVSS-systeem. Het probleem zit in de gehele Data Center-productlijn van Atlassian. Alleen organisaties die de software zelf hosten moeten in actie komen. De Cloud-varianten van de getroffen producten heeft Atlassian zelf al bijgewerkt.
Bestanden uitlezen zonder authenticatie
In zijn beveiligingsadvies over CVE-2026-21589 meldt Atlassian dat een aanvaller op afstand en zonder authenticatie willekeurige bestanden binnen de rootmap van de webapplicatie kan inzien. Daarvoor moet de aanvaller de exacte bestandsnaam en het pad kennen, want de kwetsbaarheid maakt het niet mogelijk om mappen te doorzoeken.
Die voorwaarde beperkt de mogelijkheden voor misbruik, al blijft het risico reëel. Veel webapplicaties gebruiken configuratiebestanden met standaardnamen en voorspelbare locaties. Staan daar gegevens als wachtwoorden, tokens of verbindingsinstellingen in, dan kan een aanvaller die informatie gebruiken voor een vervolgaanval.
Updaten naar gecorrigeerde LTS-versies
Atlassian adviseert organisaties met on-premise Data Center-omgevingen om getroffen systemen onmiddellijk bij te werken naar de nieuwste gecorrigeerde LTS-versies. Kun je niet direct patchen, dan beveelt het bedrijf tijdelijke maatregelen aan. Je kunt specifieke regels instellen in een Web Application Firewall (WAF) of de configuratie van de webserver aanpassen. Die maatregelen zijn bedoeld als overbrugging en vervangen de update niet.
Volgens Atlassian zijn er tot nu toe geen aanwijzingen dat de kwetsbaarheid actief wordt misbruikt. Nu de details openbaar zijn, kan dat snel veranderen. Kwetsbaarheden in veelgebruikte bedrijfssoftware trekken na publicatie vaak snel de aandacht van aanvallers.
Inventarisatie bij klanten
Beheer je Atlassian-omgevingen voor klanten, dan is het zaak om snel in kaart te brengen welke klanten Data Center-versies van Jira, Confluence, Bitbucket, Bamboo of Crowd draaien. Instances die rechtstreeks vanaf internet bereikbaar zijn, verdienen de hoogste prioriteit. Controleer bij die systemen ook welke bestanden in de rootmap van de webapplicatie staan en of daar gevoelige gegevens tussen zitten.
Klanten die de Cloud-versies gebruiken, hoeven voor deze kwetsbaarheid zelf niets te doen. Daarmee onderstreept het lek nog eens het verschil in beheerlast tussen zelf gehoste en cloudgebaseerde varianten van dezelfde software.
Het volledige rapport is te lezen via beveiligingsadvies over CVE-2026-21589.
