شرکت Atlassian در ۵ اکتبر ۲۰۲۶ یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-21589 را منتشر کرد که چند محصول این شرکت را تحت تأثیر قرار می‌دهد. در این مطلب مشخصاً وضعیت Confluence Data Center ،Jira Software Data Center و Jira Service Management Data Center را بررسی می‌کنیم و به نحوه رفع این آسیب‌پذیری در سرویس‌های جیرا و کانفلوئنس بازارچه هم‌روش می‌پردازیم.
این آسیب‌پذیری از نوع Arbitrary File Access است و Atlassian برای آن امتیاز ۹.۳ از ۱۰ و سطح شدت بحرانی (Critical) را در نظر گرفته است. مهاجم برای سوءاستفاده از این آسیب‌پذیری به احراز هویت نیاز ندارد و در شرایط مشخص می‌تواند به فایل‌هایی در دایرکتوری اصلی وب اپلیکیشن دسترسی پیدا کند. Atlassian توصیه کرده است کاربران محصولات آسیب‌پذیر در اسرع وقت آن‌ها را به نسخههای اصلاح‌شده ارتقا دهند.
آسیب‌پذیری CVE-2026-21589 چیست؟
آسیب‌پذیری CVE-2026-21589 به مهاجمی که احراز هویت نشده است اجازه می‌دهد به فایل‌های مشخصی در دایرکتوری web application root نسخههای آسیب‌پذیر دسترسی پیدا کند. طبق توضیحات Atlassian، در برخی پیکربندی‌ها ممکن است فایل‌های حساسی در این مسیر وجود داشته باشند و همین موضوع ریسک امنیتی را افزایش دهد.
البته دامنه دسترسی مهاجم یک محدودیت مهم دارد. مهاجم باید نام و مسیر دقیق فایل هدف را از قبل بداند. این آسیب‌پذیری به‌تنهایی امکان مشاهده فهرست فایل‌ها یا محتوای دایرکتوری را در اختیار مهاجم قرار نمی‌دهد.
شدت آسیب‌پذیری Jira و Confluence چقدر است؟
Atlassian شدت این آسیب‌پذیری را بحرانی (Critical) اعلام کرده و بر اساس CVSS 4.0 امتیاز ۹.۳ از ۱۰ را به آن اختصاص داده است. براساس این ارزیابی، سوءاستفاده از آسیب‌پذیری از طریق شبکه امکان‌پذیر است و به دسترسی قبلی مهاجم یا تعامل کاربر نیاز ندارد. Atlassian در عین حال تأکید کرده که امتیاز فوق ارزیابی خود این شرکت است و سازمان‌ها باید میزان انطباق آن را با محیط فناوری اطلاعات خود ارزیابی کنند.
کدام نسخههای Jira و Confluence آسیب‌پذیر هستند؟
در این مطلب سه محصول زیر مورد نظر ما هستند:
- Confluence Data Center
- Jira Software Data Center
- Jira Service Management Data Center
بنا بر اعلام Atlassian نسخههای قبل از نسخههای اصلاح‌شده این محصولات تحت تأثیر CVE-2026-21589 قرار دارند و حتی نسخه‌هایی که به پایان دوره پشتیبانی رسیده‌اند نیز ممکن است آسیب‌پذیر باشند. توصیه Atlassian ارتقا به یک نسخه اصلاح‌شده یا نسخههای بعد از آن است.
نسخههای اصلاح‌شده Jira Software Data Center
براساس اطلاعیه امنیتی رسمی Jira، نسخههای آسیب‌پذیر و نیز اصلاح‌شده Jira Software Data Center عبارت‌اند از:
| نام محصول | نسخههای تحت‌تاثیر آسیب‌پذیری | نسخههای رفع آسیب‌پذیری |
|---|---|---|
| Jira Data Center | تمام نسخههای قبلی | نسخه 9.12.40 نسخه 10.3.26 نسخه 11.3.12 |
Atlassian توصیه کرده کاربران Jira Data Center فرایند ارتقا instance خود به یکی از نسخههای اصلاح‌شده را انجام دهند.
نسخههای اصلاح‌شده Jira Service Management Data Center
طبق اطلاعیه امنیتی اصلی Atlassian، نسخههای آسیب‌پذیر و نیز اصلاح‌شده Jira Service Management Data Center عبارت‌اند از:
| نام محصول | نسخههای تحت‌تاثیر آسیب‌پذیری | نسخههای رفع آسیب‌پذیری |
|---|---|---|
| Jira Service Management Data Center | تمام نسخههای قبلی | نسخه 9.2.26 نسخه 10.2.19 |
نسخههای اصلاح‌شده Confluence Data Center
براساس اطلاعیه امنیتی اختصاصی Confluence، نسخههای آسیب‌پذیر و نیز اصلاح‌شده عبارت‌اند از:
| نام محصول | نسخههای تحت‌تاثیر آسیب‌پذیری | نسخههای رفع آسیب‌پذیری |
|---|---|---|
| Confluence Data Center | تمام نسخههای قبلی | نسخه 9.2.26 نسخه 10.2.19 |
Atlassian توصیه می‌کند کاربران Confluence Data Center به یکی از نسخههای اصلاح‌شده ارتقا پیدا کنند.
چگونه آسیب‌پذیری CVE-2026-21589 را برطرف کنیم؟
راهکار اصلی Atlassian برای رفع CVE-2026-21589، ارتقای سریع محصولات آسیب‌پذیر به نسخههای اصلاح‌شده است. اگر در حال حاضر امکان ارتقای محصول وجود ندارد، Atlassian مجموعه‌ای از اقدامات موقت را نیز ارائه کرده است؛ با این حال، این شرکت صراحتاً اعلام می‌کند که اقدامات موقت جایگزینی برای Patch کردن نیستند و بهروزرسانی باید در سریع‌ترین زمان ممکن انجام شود.
بهروزرسانی Jira و Confluence در سرویس‌های هم‌روش
هم‌روش نسخههای جدید جیرا و کانفلوئنس را که شامل پچ این آسیب‌پذیری هستند، ارائه می‌کند. مشتریانی که از نسخههای آسیب‌پذیر استفاده می‌کنند، باید بهروزرسانی سرویس خود را در اولویت قرار دهند. پیش از انجام بهروزرسانی، نسخه فعلی سرویس را با نسخههای اصلاح‌شده‌ای که در بخش قبل ذکر شد مقایسه کنید و براساس دستورالعمل بهروزرسانی سرویس در مستندات بهروزرسانی جیرا و کانفلوئنس و از طریق کنسول هم‌روش عمل کنید. توجه داشته باشید که حین بهروزرسانی، داون‌تایم چند دقیقه‌ای را تجربه خواهید کرد.
برای رفع آسیب‌پذیری CVE-2026-21589، توصیه شده سرویس به نسخه اصلاح‌شده یا نسخههای بعدی ارتقا داده شود.
اگر Jira Service Management را نصب کرده‌ایم، چگونه آن را بهروزرسانی کنیم؟
اگر Jira Service Management Data Center را خودتان روی سرویس نصب کرده‌اید، این بهروزرسانی را باید جداگانه انجام دهید. بهروزرسانی Jira Service Management نصب‌شده توسط کاربر هم‌روش بر عهده خود کاربر است. به این منظور طبق مستندات Atlassian ابتدا Jira Software را ارتقا دهید. در سرویس هم‌روش این مرحله را می‌توانید مطابق مستندات بهروزرسانی جیرا و کانفلوئنس و از طریق کنسول هم‌روش انجام دهید.
پس از ارتقای Jira Software، وارد پنل مدیریت Jira شوید و از مسیر Administration و سپس Applications اقدام به بهروزرسانی Jira Service Management کنید.
چگونه نشانه‌های سوءاستفاده از CVE-2026-21589 را بررسی کنیم؟
Atlassian اعلام کرده است که نمی‌تواند تأیید کند آیا instanceهای کاربران تحت تأثیر این آسیب‌پذیری قرار گرفته‌اند یا خیر و توصیه می‌کند تیم‌های امنیتی instanceهای درگیر را برای یافتن شواهد احتمالی compromise بررسی کنند.
یکی از روش‌های پیشنهادی، بررسی access logهاست. طبق دستورالعمل Atlassian می‌توان هر request line موجود در access log را حداکثر در دو مرحله URL-decode کرد و سپس به‌دنبال .. در مجاورت مستقیم /، \ یا :: گشت. روش دیگر، جست‌وجوی مستقیم logهای decodeنشده با استفاده از Regex ارائه‌شده توسط Atlassian است.
آیا تاکنون از CVE-2026-21589 سوءاستفاده شده است؟
در این مورد باید میان محصولات Cloud و instanceهای Data Center تمایز قائل شد. Atlassian اعلام کرده است محصولات Cloud تحت تأثیر را Patch کرده و بررسی این شرکت شواهدی از سوءاستفاده در این محصولات پیدا نکرده است.
اما این گزاره را نمی‌توان به همه instanceهای Data Center تعمیم داد. Atlassian در بخش Threat Detection اعلام کرده که نمی‌تواند تأیید کند instance مشخص یک کاربر تحت تأثیر این آسیب‌پذیری قرار گرفته است یا خیر و به همین دلیل بررسی access logها را توصیه می‌کند.
بنابراین نبود شواهد اعلام‌شده برای محصولات Cloud به معنای اثبات عدم سوءاستفاده از تمام instanceهای Jira و Confluence Data Center نیست.
جمع‌بندی
آسیب‌پذیری CVE-2026-21589 با شدت بحرانی و امتیاز ۹.۳، نسخههای آسیب‌پذیر Jira Software Data Center ،Jira Service Management Data Center و Confluence Data Center را در معرض دسترسی بدون احراز هویت به فایل‌های مشخص قرار می‌دهد. مهاجم برای سوءاستفاده باید نام و مسیر دقیق فایل هدف را بداند و این آسیب‌پذیری امکان فهرست‌کردن محتوای دایرکتوری را فراهم نمی‌کند.
توصیه اصلی Atlassian ارتقای فوری به نسخههای اصلاح‌شده است. اقدامات موقتی مانند محدودکردن دسترسی خارجی، اعمال Rule در WAF یا Proxy و استفاده از Tomcat RewriteValve برای شرایطی ارائه شده‌اند که ارتقای فوری امکان‌پذیر نیست و جایگزین Patch محسوب نمی‌شوند.
کاربران Jira و Confluence هم‌روش نیز می‌توانند با مراجعه به مستندات بهروزرسانی جیرا و کانفلوئنس، نسخه سرویس خود را بررسی و فرایند ارتقا را مطابق دستورالعمل سرویس مربوطه انجام دهند.