Atlassian 10月5日發佈安全公告，披露了一個編號爲 CVE-2026-21589 的嚴重漏洞：無需任何登錄，攻擊者就能讀取八款 Data Center 自建版產品的 Web 應用根目錄下的指定文件。該漏洞 CVSS 評分爲9.3，屬於最高一檔的"嚴重"級別。
受影響的產品包括 Jira Software、Jira Service Management、Confluence、Bitbucket、Bamboo、Crowd、Crucible 和 Fisheye 的 Data Center 版——也就是企業自己搭建在機房或雲服務器上的版本。Atlassian 的雲服務用戶不受影響，雲端版本已經打過補丁。
從技術上說，這是一個"路徑遍歷"（path traversal）漏洞。攻擊者構造一個帶目錄跳轉序列的特殊 URL 發給服務器，服務器就會把本該保密的文件乖乖交出來，整個過程不需要賬號、不需要權限、不需要用戶配合。
漏洞也有它的侷限：攻擊者必須事先知道目標文件的確切文件名和路徑，不能列出目錄裏有什麼。但 Atlassian 自己的警告寫得很直白："在某些配置下，Web 根目錄裏可能放着敏感文件，你的風險會被放大。"
這正是安全行業緊張的原因。Atlassian 產品的 Web 根目錄裏經常躺着數據庫連接字符串、LDAP 綁定憑證、應用配置文件，有些部署環境裏還放着 CI/CD 流水線的令牌和服務賬號密鑰。攻擊者不需要提權、不需要橫向移動，只要猜對路徑，就能直接拿到這些東西。
多家安全媒體援引 Atlassian 的公告指出，暴露的是特定已知文件，不是整個服務器文件系統——但"知道文件名"這個門檻，在標準化部署和默認配置面前並不高。
Atlassian 給每款產品都發布了修復版本：Jira Data Center 升到 9.12.40、10.3.26 或 11.3.12；Confluence 升到 9.2.26 或 10.2.19；Bitbucket 升到 9.4.26、10.2.8 或 10.5.1；Bamboo 升到 10.2.24 或 12.1.12；Crowd 升到 6.3.7、7.0.3、7.1.7 或 7.2.4；Fisheye 和 Crucible 升到 4.9.15。所有比修復版更早的版本都在影響範圍內，包括已經停止維護的老版本。
Atlassian 建議，能升級就儘快升級；實在排不出變更窗口的，先把實例從公網斷開，或者按官方公告裏的臨時緩解措施部署攔截規則。公網可達的實例——哪怕有登錄保護——在修補前都應限制外部訪問。
據安全媒體梳理，Atlassian 在10月2日和3日開了內部修復工單，10月5日正式發佈公告和補丁。公司沒有透露是誰報告的這個漏洞。截至目前，沒有確認的野外利用案例，也沒有公開的概念驗證代碼——但這在高危漏洞披露初期很常見，補丁落地的窗口期正是最危險的時候。
對企業 IT 來說，判斷標準很簡單：如果你司的 Jira 或 Confluence 是自建 Data Center 版且掛在公網上，這周的頭等大事就是打補丁；已經遷移到 Atlassian Cloud 的，可以鬆口氣——這波與你無關。