← Tous les incidentsFaille de sécurité·Majeure
Correctif dispoLes attaquants l'utilisent déjàConcerne les propriétaires de sites
Atlassian Data Center (Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible, Fisheye)Ce que ça change pour vous
Rien de visible pour vous ; les entreprises doivent mettre à jour leurs serveurs Atlassian.
Une faille dans les versions auto-hébergées de Jira, Confluence, Bitbucket et d'autres outils Atlassian permet à n'importe qui sur Internet de lire des fichiers du serveur, et des attaquants s'en servent. Elle concerne les entreprises qui utilisent ces serveurs.
Début : 5 oct. 2026Mis à jour : 15 oct. 2026
Que faire ?
- Vous
- Rien à faire.
- Si vous gérez un site ou une appli
- Mettez chaque produit Atlassian auto-hébergé à une version corrigée. Sinon, retirez l'instance d'Internet ou ajoutez la règle WAF ou proxy d'Atlassian, puis cherchez des traversées de chemin dans les journaux. Atlassian Cloud est déjà corrigé.
Ce qui est touché
- Atlassian Data Center (Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible, Fisheye)Corrigé dans Confluence 9.2.26, 10.2.19, Jira Software 9.12.40, 10.3.26, 11.3.12, Jira Service Management 5.12.40, 10.3.26, 11.3.12, Bitbucket 9.4.26, 10.2.8, 10.5.1, Bamboo 10.2.24, 12.1.12, Crowd 6.3.7, 7.0.3, 7.1.7, 7.2.4, Crucible and Fisheye 4.9.15
CVE-2026-21589Score de gravité 9.3 sur 10
Chronologie
Correctif dispo · 15 oct. 2026
La CISA ajoute CVE-2026-21589 à son catalogue des failles exploitées.
CISACorrectif dispo · 7 oct. 2026
Des attaques commencent quelques heures après une preuve de concept publique, selon la presse.
BleepingComputerCorrectif dispo · 5 oct. 2026
Atlassian publie CVE-2026-21589, un accès arbitraire à des fichiers dans huit produits Data Center, avec les versions corrigées. Pas de preuve d'exploitation pour l'instant.
Atlassian