Jira et Confluence : la faille qui laisse lire vos fichiers sans mot de passe est exploitée

Il aura fallu environ deux heures. Le 6 octobre, l'entreprise de sécurité watchTowr publie l'analyse technique d'une faille qu'Atlassian venait de révéler, accompagnée d'un code de démonstration. Selon BleepingComputer, les pièges installés sur Internet par la société Previdian enregistrent les premières tentatives d'exploitation dans les deux heures qui suivent.

Le 15 octobre, l'agence américaine de cybersécurité (CISA) a ajouté cette faille, la CVE-2026-21589, à son catalogue des vulnérabilités activement exploitées. Elle touche les versions installées chez le client (« Data Center ») de huit produits d'Atlassian : Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible et Fisheye. Atlassian lui donne la note de 9,3 sur 10, soit une gravité critique.

Lire des fichiers du serveur sans s'identifier

D'après l'avis d'Atlassian publié le 5 octobre, un attaquant sans aucun compte peut lire certains fichiers situés dans le répertoire de l'application web. Il doit connaître le nom et le chemin exacts du fichier, car la faille ne permet pas de lister le contenu des dossiers. L'éditeur prévient que, dans certaines configurations, des fichiers sensibles présents à cet endroit pourraient aggraver le risque.

watchTowr a montré lesquels. Dans les installations où Jira s'appuie sur Crowd, l'outil d'authentification d'Atlassian, un fichier de configuration contient des identifiants en clair. Selon les chercheurs, ces identifiants pourraient servir à créer un compte administrateur Jira, à condition que Crowd soit joignable et que les droits de l'application le permettent. Ils précisent que filtrer les adresses IP autorisées à contacter Crowd complique nettement l'attaque.

Un avis de l'éditeur resté sans mise à jour

Les versions hébergées par Atlassian (Cloud) ont déjà été corrigées, et l'éditeur n'y a trouvé aucune trace d'exploitation. Pour les installations Data Center, il écrit ne pas pouvoir confirmer si les serveurs de ses clients ont été touchés. Son avis, modifié pour la dernière fois le 5 octobre, ne mentionne ni l'exploitation ni l'ajout au catalogue de la CISA. C'est pourtant cette dernière information qui doit fixer votre calendrier.

Que faire ?

Ce que les attaquants ramassent ici, ce sont des secrets de configuration. Corriger ne suffit donc pas si un serveur exposé est resté vulnérable plusieurs jours.

• Mettre à jour vers une version corrigée : Jira Software 9.12.40, 10.3.26 ou 11.3.12 ; Jira Service Management 5.12.40, 10.3.26 ou 11.3.12 ; Confluence 9.2.26 ou 10.2.19 ; Bitbucket 9.4.26, 10.2.8 ou 10.5.1 ; Bamboo 10.2.24 ou 12.1.12 ; Crowd 6.3.7, 7.0.3, 7.1.7 ou 7.2.4 ; Crucible et Fisheye 4.9.15. Toutes les versions antérieures sont touchées.
• En attendant, retirer l'instance d'Internet ou en restreindre l'accès. Atlassian fournit aussi une règle de filtrage pour pare-feu applicatif ou proxy, des règles Tomcat RewriteValve (Jira, Confluence, Bamboo, Crowd) et une règle de réécriture d'adresses pour Bitbucket, à appliquer sur chaque nœud.
• Chercher des traces dans les journaux d'accès : Atlassian conseille de repérer les séquences .. accolées à /, \ ou ::, avant et après décodage des adresses.
• En cas de doute, changer les mots de passe et secrets présents dans les fichiers de configuration, en priorité le compte qui relie Jira à Crowd.

Comme pour la faille critique de GitLab corrigée le 12 octobre, les outils de développement installés en interne sont des cibles de choix : ils contiennent du code, des tickets et des accès. Reste une question : qui exploite la faille, et contre qui ? Ni la CISA ni Atlassian ne l'ont dit à ce stade.