- Katılım
- 12 Şub 2024
- Mesajlar
- 930
1. Genel Bilgi
Atlassian; ekiplerin iş takibi, belge hazırlama ve yazılım geliştirme süreçlerini yönetmesini sağlayan yazılımlar geliştiren bir şirkettir. Bu duyuru, Atlassian'ın "Data Center" adlı ürün ailesini ve Crucible ile Fisheye ürünlerini kapsamaktadır. Data Center ürünleri, kurumların Atlassian'ın bulut hizmetini kullanmak yerine kendi sunucularına kurduğu ve kendisinin yönettiği yazılımlardır.2
Bu vakada etkilenen ürünler ve temel işlevleri şunlardır:
Atlassian 05.10.2026 tarihinde bu ürünlerin tamamını etkileyen kritik bir zafiyet duyurmuştur. Zafiyet, internet üzerinden ürüne erişebilen ve hiçbir kullanıcı hesabı bulunmayan bir saldırganın, uygulamanın kendi klasörlerinde bulunan belirli dosyaları okuyabilmesine imkân vermektedir. Saldırganın okumak istediği dosyanın tam adını ve yerini önceden bilmesi gerekmektedir. Zafiyet klasör içeriğinin listelenmesine izin vermemektedir. Üretici, bazı kurulumlarda bu klasörlerde hassas dosyalar bulunabileceğini ve bunun riski artırdığını belirtmektedir.1 CVE-2026-21589 kodu bu zafiyeti tanımlamaktadır. CVE kodları, farklı zafiyetlerin birbirine karıştırılmadan izlenmesini sağlayan benzersiz kimliklerdir.
Bağımsız bir teknik analizde, Jira'nın kullanıcı yönetimi için Crowd'a bağlandığı kurulumlarda okunan bir ayar dosyasında, Crowd'a erişim parolasının açıkça yazılı bulunduğu gösterilmiştir. Bu parolayı ele geçiren saldırgan, Crowd'a doğrudan erişebiliyorsa Jira'da kendi yönetici hesabını oluşturabilmektedir. Bu senaryo laboratuvar ortamında gösterilmiştir ve belirli koşullara bağlıdır.10
Zafiyetin gerçek saldırılarda kullanıldığı ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından kabul edilmiş ve zafiyet 15.10.2026 tarihinde istismar edildiği bilinen zafiyetler (KEV) kataloğuna eklenmiştir.7 Saldırı amaçlı kurulan tuzak sistemlerde de duyurudan bir gün sonra istismar girişimleri gözlemlenmiştir. Ancak gerçek bir kurum sisteminin bu zafiyetle ele geçirildiğine ilişkin kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.11
Atlassian'ın bulut hizmetindeki ürünler üretici tarafından düzeltilmiştir; bulut kullanıcılarının işlem yapması gerekmemektedir.1 Desteği 15.02.2024 tarihinde sona eren Server ürünleri ise güvenlik düzeltmesi almamaktadır.4
Kurumların kendi altyapılarında çalışan etkilenen ürünleri vakit kaybetmeden üreticinin düzeltilmiş sürümlerine güncellemesi gerekmektedir. Güncelleme hemen yapılamıyorsa ürün internetten erişime kapatılmalı ve üreticinin geçici önlemleri uygulanmalıdır. Güncelleme, daha önce gerçekleşmiş olabilecek bir ihlali ortadan kaldırmamaktadır. Bu nedenle erişim kayıtları incelenmeli; ihlal şüphesi varsa ele geçirilmiş olabilecek parola ve gizli bilgiler değiştirilmelidir.1 5
2. Teknik Detaylar
2.1. Temel Bilgiler
2.2. Zafiyet Tanımı
Üreticiye göre zafiyet, kimliği doğrulanmamış saldırganın (unauthenticated attacker) etkilenen sürümlerde web uygulaması kök dizinindeki belirli dosyalara erişmesine imkân vermektedir. İstismar, hedef dosyanın tam adının ve yolunun önceden bilinmesini gerektirmektedir. Zafiyet dizin içeriğinin listelenmesine izin vermemektedir.1
Bağımsız teknik analizde zafiyetin kaynağı, ürünlerin ortak kullandığı atlassian-plugins-webresource kütüphanesi olarak belirlenmiştir. Bu kütüphane eklenti web kaynaklarını (plugin web resources) sunarken istek yolundaki "::" dizisini "/" karakterine dönüştürmektedir. Bu dönüşüm yol denetiminden sonra yapıldığı için, yol denetimi atlatılarak üst dizinlere geçilebilmektedir. Aynı analize göre erişim, uygulamanın Tomcat üzerinde çalıştığı dizinin dışına çıkamamaktadır; ancak bu dizindeki WEB-INF klasöründe bulunan yapılandırma dosyaları okunabilmektedir. Dosya okuma Jira, Confluence ve Bitbucket üzerinde doğrulanmıştır.10
Bağımsız teknik analiz, Crowd ile tümleşik Jira kurulumları için koşullu bir senaryo da göstermektedir. Bu senaryo yeni bir CVE içermemektedir ve laboratuvar ortamında gösterilmiştir:10
Bu senaryonun ikinci ve üçüncü aşamaları zafiyet değil, ele geçirilen kimlik bilgilerinin meşru API işlevleriyle kullanılmasıdır. Senaryoda işletim sistemi düzeyinde root yetkisi veya uzaktan kod yürütme gösterilmemiştir.
2.3. Zayıflıklar
CISA ADP, zafiyete CWE-552 (Files or Directories Accessible to External Parties) zayıflığını atamıştır.9 Bu zayıflık, erişilmemesi gereken dosya veya dizinlerin dış taraflarca erişilebilir olmasını ifade etmektedir. Vakada bu durum, kimliği doğrulanmamış saldırganın web uygulaması kök dizinindeki yapılandırma dosyalarına erişebilmesi biçiminde ortaya çıkmaktadır.
2.4. Etkiler
Zafiyetin doğrudan teknik etkisi, kimlik doğrulaması olmadan web uygulaması kök dizinindeki bilinen yoldaki dosyaların okunmasıdır. Üretici, bazı yapılandırmalarda bu dizinde riski artıran hassas dosyalar bulunabileceğini belirtmektedir.1 Okunan dosyalarda kimlik bilgileri, belirteçler veya anahtarlar bulunması durumunda bu bilgiler başka sistemlere erişim için kullanılabilmektedir.10
Crowd ile tümleşik Jira kurulumlarında, 2.2'deki koşullar sağlandığında saldırgan Jira yönetici hesabı elde edebilmektedir. Bu sonuç Crowd'un saldırgan tarafından erişilebilir olmasına bağlıdır; bütün etkilenen kurulumlar için geçerli değildir. Gösterilen senaryonun sonucu Jira'da yönetici yetkisidir; Crowd yöneticisi yetkisi, işletim sistemi root yetkisi veya uzaktan kod yürütme kaynaklarda doğrulanmamıştır.10
2.5. Sömürü Durumu
Zaman Çizelgesi:
Üreticinin 05.10.2026 tarihli "istismar kanıtı bulunmamaktadır" açıklaması duyuru anındaki durumu yansıtmaktadır; sonraki gözlemlerle çelişki oluşturmamaktadır. Üretici, kendi tarafından müşteri kurulumlarının etkilenip etkilenmediğini doğrulayamadığını da belirtmektedir.1
Bir tehdit istihbaratı sağlayıcısının 9 sensöründen oluşan balküpü ağında 06.10.2026–03.11.2026 döneminde 95 benzersiz kaynak IP adresinden toplam 757 istismar girişimi kaydedilmiştir. Girişimler 24 farklı ülkeden gelmiştir; bu bilgi hedeflerin değil, saldırı isteklerinin kaynağının konumunu göstermektedir. Etkinlik 07.10.2026 tarihinde günlük 262 girişimle en yüksek düzeye ulaşmıştır.11 Topluluk tabanlı bir güvenlik ağı 07.10.2026–11.10.2026 döneminde istismar örüntüsüyle eşleşen 6.657 sinyal kaydetmiştir.13 Bu sayılar balküpü ve sensör gözlemleridir. Hedefin savunmasız olduğunu veya girişimin başarılı olduğunu göstermemektedir.11 Bir internet güvenliği izleme merkezinin gözlemlediği isteklerin tamamı aynı bulut sağlayıcısına ait adreslerden gelmiştir ve yayımlanmış teknik analizdeki örnek istekleri kullanmaktadır.12
İkincil kaynakta aktarılan araştırmacı beyanına göre gözlemlenen girişimlerin çoğu, etkilenen ürünün varlığını tespit etmeye yönelik iz çıkarma (fingerprinting) ve yaygın yapılandırma dosyalarını aramakla sınırlı kalmıştır. Aynı beyana göre ele geçirme sonrası faaliyet veya elde edilen kimlik bilgilerinin kullanılmasına yönelik bir girişim gözlemlenmemiştir.20
Güvenli PoC Özeti:
Kaynak sınıflandırması: Teknik kavram kanıtı (proof of concept, PoC) ve tespit aracı; Crowd senaryosu laboratuvar gösterimidir.
Vendor/CNA doğrulama seviyesi: Üretici PoC'yi ayrıca doğrulamamıştır; CISA ADP tespit aracının deposunu "exploit" olarak etiketlemiştir.9
3. Risk Değerlendirmesi
CNA vektörünün metrikleri:
İki değerlendirme farklı CVSS sürümlerinde ve farklı yayıncılar tarafından yapılmıştır; skor farkı maddi çelişki değildir. CNA vektörü bağlı sistemlere yönelik etkileri (SC/SI/SA) yüksek olarak değerlendirirken, NIST değerlendirmesi yalnızca zafiyetli sistemdeki gizlilik etkisini içermektedir. CVE kaydında CNA'nın zafiyet türü alanında "Read/Write" ifadesi geçmektedir. Üretici açıklaması ve bağımsız teknik analiz ise yalnızca dosyaya erişimi tarif etmektedir; yayımlanmış vektörde de zafiyetli sistem bütünlüğü (VI) "N" olarak verilmiştir.1 9 10
EPSS değeri, zafiyetin yakın dönemde istismar edilme olasılığına ilişkin istatistiksel bir tahmindir; tek başına istismar kanıtı veya kurumsal risk derecesi değildir. Zafiyet İstismar Edildiği Bilinen Zafiyetler (Known Exploited Vulnerabilities, KEV) kataloğunda yer almaktadır. Paydaşlara Özgü Zafiyet Sınıflandırması (Stakeholder-Specific Vulnerability Categorization, SSVC) değerlendirmesinde istismar "active", teknik etki "total" olarak verilmiştir.7 9
Kimlik doğrulama gerektirmemesi, kamuya açık tespit aracının ve tarama şablonunun bulunması ve sekiz ürünü etkilemesi zafiyeti otomatik taramaya elverişli kılmaktadır. Gerçekleşen etki ise web uygulaması kök dizinindeki dosyaların içeriğine ve Crowd tümleşimi gibi kurulum koşullarına bağlıdır. İnternete açık, Crowd ile tümleşik ve güncellenmemiş kurulumlar en yüksek riski taşımaktadır.
4. Etkisizleştirme (Mitigation)
Üretici, güncelleme hemen yapılamıyorsa kurulumun güncelleme veya geçici önlem uygulanana kadar internetten kaldırılmasını önermektedir. Bu öneri, kullanıcı girişi gerektiren ve internetten erişilebilen kurulumları da kapsamaktadır. Üreticinin yayımladığı geçici önlemler şunlardır:1
Genel savunma önerisi (üretici talimatı değildir): Crowd ile tümleşik kurulumlarda Crowd'a ağ erişimi yalnızca bağlı uygulama sunucularıyla sınırlandırılmalıdır. Bağımsız teknik analize göre kısıtlayıcı bir IP izin listesi, 2.2'deki senaryonun uygulanmasını önemli ölçüde zorlaştırmaktadır.10
Etkisizleştirme önlemleri kalıcı güvenlik güncellemesinin yerine geçmemektedir.
5. Kalıcı Çözüm (Remediation)
Kalıcı çözüm, etkilenen her kurulumun 2.1'de verilen düzeltilmiş sürümlere veya daha yenisine güncellenmesidir. Üretici, düzeltmeyi içeren uzun süreli destek (Long Term Support, LTS) sürümüne veya daha yenisine geçilmesini önermektedir.1 Güncel LTS dalları Jira Software ve Jira Service Management için 11.3, Confluence için 10.2, Bitbucket için 10.2, Bamboo için 12.1 ve Crowd için 7.2'dir.3
Düzeltme alan bazı dalların destek bitiş tarihi (end of support date) yaklaşmaktadır: Bitbucket 9.4 için 03.12.2026, Jira Software ve Jira Service Management 10.3 için 05.12.2026, Confluence 9.2 için 10.12.2026, Bamboo 10.2 için 20.12.2026, Fisheye ve Crucible 4.9 için 30.12.2026. Bu dallarda kalan kurumların LTS dalına geçişi planlaması gerekmektedir.3 Fisheye ve Crucible'ın satışı 13.05.2025'te durdurulmuştur; destek 15.05.2028'de sona erecektir.3 4
Atlassian Server ürünlerine 15.02.2024'ten bu yana destek ve hata düzeltmesi sağlanmamaktadır.4 Bu sürümleri kullanan kurumlar için yayımlanmış bir güvenlik düzeltmesi bulunmamaktadır; desteklenen bir Data Center sürümüne veya bulut hizmetine geçilmesi gerekmektedir.
Güncelleme yalnızca zafiyeti kapatmaktadır; güncelleme öncesinde okunmuş olabilecek dosyalar ve bu dosyalardaki kimlik bilgileri bu işlemle korunmuş olmaz. Üretici, müşteri kurulumlarının etkilenip etkilenmediğini doğrulayamadığını belirterek her kurulumun ihlal izleri açısından incelenmesini istemektedir.1 CERT-EU, ihlal şüphesi varsa etkilenen kurulumların incelenmesini, ifşa olmuş olabilecek kimlik bilgilerinin ve gizli bilgilerin gözden geçirilip yenilenmesini ve ilgili siber güvenlik otoritesiyle iletişime geçilmesini önermektedir.5 Crowd ile tümleşik kurulumlarda crowd.properties dosyasındaki uygulama parolası bu kapsamda değerlendirilmelidir.10 Geriye dönük inceleme en az 05.10.2026 tarihli duyurudan itibaren yapılmalıdır. Bilinen en erken istismar girişimi 06.10.2026 tarihlidir; bu tarih daha önceki girişimlerin bulunmadığı anlamına gelmemektedir.
6. Tespit / İzleme (SOC/SIEM için)
6.1. Log Göstergeleri
Üretici, erişim kayıtlarının (access log) şu iki yöntemden biriyle incelenmesini önermektedir:1
Balküpü sistemlerinde gözlemlenen istismar girişimleri, eklenti web kaynaklarını sunan /download/resources/ ve /s/…/_/download/resources/ biçimindeki yollarda ardışık "..::" dizileri içermekte ve WEB-INF altındaki web.xml ile urlrewrite.xml dosyalarını hedeflemektedir.12 Bu istekler başarılı istismar kanıtı değildir. Başarı ancak isteğe hedef dosyanın içeriğiyle yanıt verildiğinin doğrulanmasıyla gösterilebilir; HTTP durum kodu tek başına başarı kanıtı sayılmamalıdır. Crowd ile tümleşik kurulumlarda Crowd'da beklenmeyen kullanıcı oluşturma ve yönetici grubuna kullanıcı ekleme işlemleri ayrıca incelenmelidir.10
6.2. IOC
Bu vakaya özgü, gerçek bir ele geçirmeyle ilişkilendirilmiş sabit ve kamuya açık doğrulanmış güvenlik ihlali göstergesi (indicator of compromise, IOC) yayımlanmamıştır.
Bir internet güvenliği izleme merkezi, balküpü sistemlerine yönelik istismar girişimlerinin geldiği bazı kaynak adresleri yayımlamıştır:12
Bu adreslerin tamamı aynı bulut sağlayıcısına aittir ve 07.10.2026 tarihli balküpü gözlemine dayanmaktadır. Bu adresler ele geçirme göstergesi değil, tarama ve istismar girişimi kaynağıdır. Bulut adresleri kısa sürede başka kullanıcılara geçebildiği için kayıtların geriye dönük taranmasında yararlıdır; kalıcı engelleme listesi olarak kullanılması yanlış pozitif üretebilir.
6.3. Tespit Kuralı Önerisi
Kamuya açık hazır tespit ve tarama içerikleri:
Analist tarafından önerilen davranış korelasyonu (hazır veya doğrulanmış bir istismar imzası değildir):
7. Kaynaklar
Atlassian; ekiplerin iş takibi, belge hazırlama ve yazılım geliştirme süreçlerini yönetmesini sağlayan yazılımlar geliştiren bir şirkettir. Bu duyuru, Atlassian'ın "Data Center" adlı ürün ailesini ve Crucible ile Fisheye ürünlerini kapsamaktadır. Data Center ürünleri, kurumların Atlassian'ın bulut hizmetini kullanmak yerine kendi sunucularına kurduğu ve kendisinin yönettiği yazılımlardır.2
Bu vakada etkilenen ürünler ve temel işlevleri şunlardır:
- Jira Software: İşlerin planlanması, takip edilmesi ve yazılım sürümlerinin yayımlanması için kullanılmaktadır.
- Jira Service Management: Bilgi teknolojileri hizmet taleplerinin ve destek süreçlerinin yönetimi için kullanılmaktadır.
- Confluence: Belgelerin ortak hazırlanması ve paylaşılması için kullanılmaktadır.
- Bitbucket: Yazılım kaynak kodunun saklanması ve yönetilmesi için kullanılmaktadır.
- Bamboo: Yazılımın derlenmesi, test edilmesi ve dağıtılması için kullanılmaktadır.
- Crowd: Kullanıcı hesaplarının tek merkezden yönetilmesini sağlamaktadır.2
- Fisheye ve Crucible: Fisheye kod depolarının görüntülenmesini, Crucible ise kod incelemelerinin yapılmasını sağlamaktadır.4
Atlassian 05.10.2026 tarihinde bu ürünlerin tamamını etkileyen kritik bir zafiyet duyurmuştur. Zafiyet, internet üzerinden ürüne erişebilen ve hiçbir kullanıcı hesabı bulunmayan bir saldırganın, uygulamanın kendi klasörlerinde bulunan belirli dosyaları okuyabilmesine imkân vermektedir. Saldırganın okumak istediği dosyanın tam adını ve yerini önceden bilmesi gerekmektedir. Zafiyet klasör içeriğinin listelenmesine izin vermemektedir. Üretici, bazı kurulumlarda bu klasörlerde hassas dosyalar bulunabileceğini ve bunun riski artırdığını belirtmektedir.1 CVE-2026-21589 kodu bu zafiyeti tanımlamaktadır. CVE kodları, farklı zafiyetlerin birbirine karıştırılmadan izlenmesini sağlayan benzersiz kimliklerdir.
Bağımsız bir teknik analizde, Jira'nın kullanıcı yönetimi için Crowd'a bağlandığı kurulumlarda okunan bir ayar dosyasında, Crowd'a erişim parolasının açıkça yazılı bulunduğu gösterilmiştir. Bu parolayı ele geçiren saldırgan, Crowd'a doğrudan erişebiliyorsa Jira'da kendi yönetici hesabını oluşturabilmektedir. Bu senaryo laboratuvar ortamında gösterilmiştir ve belirli koşullara bağlıdır.10
Zafiyetin gerçek saldırılarda kullanıldığı ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) tarafından kabul edilmiş ve zafiyet 15.10.2026 tarihinde istismar edildiği bilinen zafiyetler (KEV) kataloğuna eklenmiştir.7 Saldırı amaçlı kurulan tuzak sistemlerde de duyurudan bir gün sonra istismar girişimleri gözlemlenmiştir. Ancak gerçek bir kurum sisteminin bu zafiyetle ele geçirildiğine ilişkin kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.11
Atlassian'ın bulut hizmetindeki ürünler üretici tarafından düzeltilmiştir; bulut kullanıcılarının işlem yapması gerekmemektedir.1 Desteği 15.02.2024 tarihinde sona eren Server ürünleri ise güvenlik düzeltmesi almamaktadır.4
Kurumların kendi altyapılarında çalışan etkilenen ürünleri vakit kaybetmeden üreticinin düzeltilmiş sürümlerine güncellemesi gerekmektedir. Güncelleme hemen yapılamıyorsa ürün internetten erişime kapatılmalı ve üreticinin geçici önlemleri uygulanmalıdır. Güncelleme, daha önce gerçekleşmiş olabilecek bir ihlali ortadan kaldırmamaktadır. Bu nedenle erişim kayıtları incelenmeli; ihlal şüphesi varsa ele geçirilmiş olabilecek parola ve gizli bilgiler değiştirilmelidir.1 5
2. Teknik Detaylar
2.1. Temel Bilgiler
- Üretici / Vendor: Atlassian
- CNA: Atlassian
- Ürün: Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible, Fisheye
- Bileşen: Ürünlerin ortak kullandığı atlassian-plugins-webresource kütüphanesi (bağımsız teknik analiz; üretici duyurusunda bileşen adı verilmemektedir)10
- CVE: CVE-2026-21589
- Zafiyet Türü: Keyfi dosya erişimi (arbitrary file access); bağımsız teknik analize göre ise dizin geçişi (path traversal)
- CWE: CWE-552 (CISA ADP)
- Etkilenen Servis / Özellik: Eklenti web kaynaklarını sunan istek yolları (bağımsız teknik analiz)10
- İstismar Ön Koşulu: Ürüne ağ üzerinden erişim; hedef dosyanın tam adının ve yolunun önceden bilinmesi; dosyanın web uygulaması kök dizininde bulunması1
- Saldırı Vektörü: Ağ
- Kullanıcı Etkileşimi: Gerekmemektedir.
- Gerekli Ayrıcalıklar: Gerekmemektedir (kimlik doğrulama gerekmemektedir).
- Etkilenen Sürümler: Üreticiye göre düzeltilmiş sürümlerden önceki tüm sürümler.1 CNA kaydındaki başlangıç sürümleri:9
- Bitbucket Data Center: 4.6.0 ve sonrası
- Confluence Data Center: 5.10.0 ve sonrası
- Jira Service Management Data Center: 3.1.0 ve sonrası
- Jira Software Data Center: 7.1.0 ve sonrası
- Bamboo Data Center: 7.0.1 ve sonrası
- Crowd Data Center: 2.11.0 ve sonrası
- Crucible ve Fisheye: 4.9.15 öncesi tüm sürümler
- Minimum Güvenli Sürüm:1
- Bitbucket Data Center: 9.4.26 / 10.2.8 / 10.5.1
- Confluence Data Center: 9.2.26 / 10.2.19
- Jira Service Management Data Center: 5.12.40 / 10.3.26 / 11.3.12
- Jira Software Data Center: 9.12.40 / 10.3.26 / 11.3.12
- Bamboo Data Center: 10.2.24 / 12.1.12
- Crowd Data Center: 6.3.7 / 7.0.3 / 7.1.7 / 7.2.4
- Crucible ve Fisheye: 4.9.15
- Güncel Önerilen Sürüm: Üretici, düzeltmeyi içeren uzun süreli destek sürümüne veya daha yenisine geçilmesini önermektedir.1 Güncel uzun süreli destek dallarında bu sürümler şunlardır:3
- Jira Software ve Jira Service Management: 11.3.12 veya sonrası
- Confluence: 10.2.19 veya sonrası (Confluence 11.0 dalı duyuruda yer almamaktadır; bu dalın düzeltmeyi içerip içermediği doğrulanamamıştır.)
- Bitbucket: 10.2.8 veya sonrası
- Bamboo: 12.1.12 veya sonrası
- Crowd: 7.2.4 veya sonrası
- Crucible ve Fisheye: 4.9.15
- Aktif İstismar Durumu: CISA KEV kataloğunda; istismar girişimleri gözlemlenmektedir. Başarılı ele geçirme kamuya açık güvenilir kaynaklarda doğrulanmamıştır.
- Zincirin Sonucu: Vakada çoklu istismar zinciri bulunmamaktadır. Koşullu Crowd senaryosu 2.2'de açıklanmaktadır.
2.2. Zafiyet Tanımı
Üreticiye göre zafiyet, kimliği doğrulanmamış saldırganın (unauthenticated attacker) etkilenen sürümlerde web uygulaması kök dizinindeki belirli dosyalara erişmesine imkân vermektedir. İstismar, hedef dosyanın tam adının ve yolunun önceden bilinmesini gerektirmektedir. Zafiyet dizin içeriğinin listelenmesine izin vermemektedir.1
Bağımsız teknik analizde zafiyetin kaynağı, ürünlerin ortak kullandığı atlassian-plugins-webresource kütüphanesi olarak belirlenmiştir. Bu kütüphane eklenti web kaynaklarını (plugin web resources) sunarken istek yolundaki "::" dizisini "/" karakterine dönüştürmektedir. Bu dönüşüm yol denetiminden sonra yapıldığı için, yol denetimi atlatılarak üst dizinlere geçilebilmektedir. Aynı analize göre erişim, uygulamanın Tomcat üzerinde çalıştığı dizinin dışına çıkamamaktadır; ancak bu dizindeki WEB-INF klasöründe bulunan yapılandırma dosyaları okunabilmektedir. Dosya okuma Jira, Confluence ve Bitbucket üzerinde doğrulanmıştır.10
Bağımsız teknik analiz, Crowd ile tümleşik Jira kurulumları için koşullu bir senaryo da göstermektedir. Bu senaryo yeni bir CVE içermemektedir ve laboratuvar ortamında gösterilmiştir:10
- Başlangıç koşulu: Jira, kullanıcı yönetimi için Crowd'a bağlıdır ve WEB-INF/classes/crowd.properties dosyası mevcuttur. Saldırganın kimlik bilgisine ihtiyacı yoktur. Saldırgan zafiyetle bu dosyayı okur; dosyada Jira'nın Crowd'a bağlanmak için kullandığı uygulama adı ve açık metin (plaintext) parola bulunmaktadır.
- Ara koşul: Saldırgan Crowd'a ağ üzerinden doğrudan erişebilmelidir. Analize göre Crowd'da kısıtlayıcı bir IP izin listesi (IP allowlist) tanımlıysa istismar önemli ölçüde zorlaşmaktadır. Saldırgan bu kimlik bilgileriyle Crowd'un REST uygulama programlama arayüzüne (Application Programming Interface, API) bağlanır.
- Kazanılan yetenek: Saldırgan yeni bir kullanıcı oluşturup bu kullanıcıyı Jira yönetici grubuna ekler ve Jira yönetici hesabı elde eder.
Bu senaryonun ikinci ve üçüncü aşamaları zafiyet değil, ele geçirilen kimlik bilgilerinin meşru API işlevleriyle kullanılmasıdır. Senaryoda işletim sistemi düzeyinde root yetkisi veya uzaktan kod yürütme gösterilmemiştir.
2.3. Zayıflıklar
CISA ADP, zafiyete CWE-552 (Files or Directories Accessible to External Parties) zayıflığını atamıştır.9 Bu zayıflık, erişilmemesi gereken dosya veya dizinlerin dış taraflarca erişilebilir olmasını ifade etmektedir. Vakada bu durum, kimliği doğrulanmamış saldırganın web uygulaması kök dizinindeki yapılandırma dosyalarına erişebilmesi biçiminde ortaya çıkmaktadır.
2.4. Etkiler
Zafiyetin doğrudan teknik etkisi, kimlik doğrulaması olmadan web uygulaması kök dizinindeki bilinen yoldaki dosyaların okunmasıdır. Üretici, bazı yapılandırmalarda bu dizinde riski artıran hassas dosyalar bulunabileceğini belirtmektedir.1 Okunan dosyalarda kimlik bilgileri, belirteçler veya anahtarlar bulunması durumunda bu bilgiler başka sistemlere erişim için kullanılabilmektedir.10
Crowd ile tümleşik Jira kurulumlarında, 2.2'deki koşullar sağlandığında saldırgan Jira yönetici hesabı elde edebilmektedir. Bu sonuç Crowd'un saldırgan tarafından erişilebilir olmasına bağlıdır; bütün etkilenen kurulumlar için geçerli değildir. Gösterilen senaryonun sonucu Jira'da yönetici yetkisidir; Crowd yöneticisi yetkisi, işletim sistemi root yetkisi veya uzaktan kod yürütme kaynaklarda doğrulanmamıştır.10
2.5. Sömürü Durumu
- Aktif exploit var mı? Evet. Dosya okumayı doğrulayan kamuya açık tespit aracı ve tarama şablonu bulunmaktadır. Crowd senaryosuna ait tam istismar kodu yayımlanmamıştır.16 17 19
- PoC var mı? Evet.
- Gerçek dünya istismarı var mı? Evet; istismar girişimleri gözlemlenmektedir. Başarılı ele geçirme kamuya açık güvenilir kaynaklarda doğrulanmamıştır.
- Exploit chain gerçek saldırıda doğrulandı mı? Çoklu-CVE zinciri bulunmamaktadır. Crowd senaryosunun gerçek saldırıda kullanıldığına ilişkin kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.
- CISA KEV durumu: Mevcut. Eklenme: 15.10.2026; son işlem tarihi: 18.10.2026; bilinen fidye yazılımı kampanyalarında kullanım: Bilinmiyor; BOD 26-04'e göre adli analiz ön değerlendirmesi: Evet.7
- CISA SSVC durumu: Sömürü Durumu: Aktif; Otomatize Edilebilirlik: Yok; Technical Impact: Tam (16.10.2026).9
Zaman Çizelgesi:
- 05.10.2026: Atlassian güvenlik duyurusunu ve düzeltilmiş sürümleri yayımladı; duyuruda etkilenen bulut ürünlerinin düzeltildiği ve yapılan incelemede istismar kanıtı bulunmadığı belirtildi.1
- 05.10.2026, 21.30 UTC: CVE-2026-21589 kaydı yayımlandı.9
- 06.10.2026: Kök nedeni açıklayan bağımsız teknik analiz ve kamuya açık tespit aracı yayımlandı.10 16
- 06.10.2026: CERT-EU 2026-015 numaralı güvenlik duyurusunu yayımladı.5
- 06.10.2026: Kanada Siber Güvenlik Merkezi AV26-1002 numaralı duyurusunu yayımladı.6
- 06.10.2026: Bir tehdit istihbaratı sağlayıcısının balküpü sistemlerinde zafiyete yönelik ilk istismar girişimi gözlemlendi.11
- 07.10.2026: Zafiyet için kamuya açık tarama şablonu yayımlandı.11
- 07.10.2026: Bir internet güvenliği izleme merkezi, balküpü sistemlerinde gözlemlediği istismar girişimlerini ve kaynak adreslerini yayımladı.12
- 07.10.2026: Topluluk tabanlı bir güvenlik ağında istismar örüntüsüyle eşleşen ilk istek gözlemlendi.13
- 15.10.2026: CISA zafiyeti istismar edildiği bilinen zafiyetler kataloğuna ekledi.7 8
- 16.10.2026, 03.56 UTC: CISA ADP, SSVC Exploitation değerini "active" olarak güncelledi.9
- 18.10.2026: CISA KEV kaydındaki son işlem tarihi doldu.7
Üreticinin 05.10.2026 tarihli "istismar kanıtı bulunmamaktadır" açıklaması duyuru anındaki durumu yansıtmaktadır; sonraki gözlemlerle çelişki oluşturmamaktadır. Üretici, kendi tarafından müşteri kurulumlarının etkilenip etkilenmediğini doğrulayamadığını da belirtmektedir.1
Bir tehdit istihbaratı sağlayıcısının 9 sensöründen oluşan balküpü ağında 06.10.2026–03.11.2026 döneminde 95 benzersiz kaynak IP adresinden toplam 757 istismar girişimi kaydedilmiştir. Girişimler 24 farklı ülkeden gelmiştir; bu bilgi hedeflerin değil, saldırı isteklerinin kaynağının konumunu göstermektedir. Etkinlik 07.10.2026 tarihinde günlük 262 girişimle en yüksek düzeye ulaşmıştır.11 Topluluk tabanlı bir güvenlik ağı 07.10.2026–11.10.2026 döneminde istismar örüntüsüyle eşleşen 6.657 sinyal kaydetmiştir.13 Bu sayılar balküpü ve sensör gözlemleridir. Hedefin savunmasız olduğunu veya girişimin başarılı olduğunu göstermemektedir.11 Bir internet güvenliği izleme merkezinin gözlemlediği isteklerin tamamı aynı bulut sağlayıcısına ait adreslerden gelmiştir ve yayımlanmış teknik analizdeki örnek istekleri kullanmaktadır.12
İkincil kaynakta aktarılan araştırmacı beyanına göre gözlemlenen girişimlerin çoğu, etkilenen ürünün varlığını tespit etmeye yönelik iz çıkarma (fingerprinting) ve yaygın yapılandırma dosyalarını aramakla sınırlı kalmıştır. Aynı beyana göre ele geçirme sonrası faaliyet veya elde edilen kimlik bilgilerinin kullanılmasına yönelik bir girişim gözlemlenmemiştir.20
Güvenli PoC Özeti:
- Kamuya açık tespit aracı, eklenti web kaynağı yoluna "::" içeren özel hazırlanmış istek (crafted request) göndererek WEB-INF altındaki standart bir yapılandırma dosyasının okunup okunamadığını denetlemektedir.16
- Teknik analizde savunmasız ve yamalı sürümler karşılaştırılmıştır. Crowd senaryosunun tam istismar kodu hazırlanmış, ancak yayımlanmamıştır.10 19
Kaynak sınıflandırması: Teknik kavram kanıtı (proof of concept, PoC) ve tespit aracı; Crowd senaryosu laboratuvar gösterimidir.
Vendor/CNA doğrulama seviyesi: Üretici PoC'yi ayrıca doğrulamamıştır; CISA ADP tespit aracının deposunu "exploit" olarak etiketlemiştir.9
3. Risk Değerlendirmesi
- Atlassian (CNA) — CVSS v4.0: 9.3 — CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H1
- NIST NVD — CVSS v3.1: 7.5 — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N14
- CISA ADP — CVSS: İlgili kaynak tarafından CVSS değerlendirmesi yayımlanmamıştır.9
CNA vektörünün metrikleri:
- Saldırı vektörü (Attack Vector, AV): N
- Saldırı karmaşıklığı (Attack Complexity, AC): L
- Saldırı gereksinimleri (Attack Requirements, AT): N
- Gerekli yetkiler (Privileges Required, PR): N
- Kullanıcı etkileşimi (User Interaction, UI): N
- Zafiyetli sistem (Vulnerable System) gizlilik (VC): H
- Zafiyetli sistem bütünlük (VI): N
- Zafiyetli sistem erişilebilirlik (VA): N
- Sonraki sistem (Subsequent System) gizlilik (SC): H
- Sonraki sistem bütünlük (SI): H
- Sonraki sistem erişilebilirlik (SA): H
İki değerlendirme farklı CVSS sürümlerinde ve farklı yayıncılar tarafından yapılmıştır; skor farkı maddi çelişki değildir. CNA vektörü bağlı sistemlere yönelik etkileri (SC/SI/SA) yüksek olarak değerlendirirken, NIST değerlendirmesi yalnızca zafiyetli sistemdeki gizlilik etkisini içermektedir. CVE kaydında CNA'nın zafiyet türü alanında "Read/Write" ifadesi geçmektedir. Üretici açıklaması ve bağımsız teknik analiz ise yalnızca dosyaya erişimi tarif etmektedir; yayımlanmış vektörde de zafiyetli sistem bütünlüğü (VI) "N" olarak verilmiştir.1 9 10
- İstismar Tahmin Puanlama Sistemi (Exploit Prediction Scoring System, EPSS): %99,477
- Yüzdelik dilim (percentile): %99,943
- Veri tarihi: 02.11.2026
- Doğrulama tarihi: 03.11.202615
EPSS değeri, zafiyetin yakın dönemde istismar edilme olasılığına ilişkin istatistiksel bir tahmindir; tek başına istismar kanıtı veya kurumsal risk derecesi değildir. Zafiyet İstismar Edildiği Bilinen Zafiyetler (Known Exploited Vulnerabilities, KEV) kataloğunda yer almaktadır. Paydaşlara Özgü Zafiyet Sınıflandırması (Stakeholder-Specific Vulnerability Categorization, SSVC) değerlendirmesinde istismar "active", teknik etki "total" olarak verilmiştir.7 9
Kimlik doğrulama gerektirmemesi, kamuya açık tespit aracının ve tarama şablonunun bulunması ve sekiz ürünü etkilemesi zafiyeti otomatik taramaya elverişli kılmaktadır. Gerçekleşen etki ise web uygulaması kök dizinindeki dosyaların içeriğine ve Crowd tümleşimi gibi kurulum koşullarına bağlıdır. İnternete açık, Crowd ile tümleşik ve güncellenmemiş kurulumlar en yüksek riski taşımaktadır.
4. Etkisizleştirme (Mitigation)
Üretici, güncelleme hemen yapılamıyorsa kurulumun güncelleme veya geçici önlem uygulanana kadar internetten kaldırılmasını önermektedir. Bu öneri, kullanıcı girişi gerektiren ve internetten erişilebilen kurulumları da kapsamaktadır. Üreticinin yayımladığı geçici önlemler şunlardır:1
- Uygulama güvenlik duvarı (Web Application Firewall, WAF) kuralı (bütün etkilenen ürünler): WAF veya vekil sunucu (proxy) katmanında, ".." dizisinin "/", "\" veya "::" ile bitişik olduğu ve URL kodlanmış biçimlerini de kapsayan istekler, üreticinin yayımladığı düzenli ifade (regular expression) ile engellenir. Kuralın kodlanmış biçimleri de engellediği test edilmelidir.
- Tomcat RewriteValve (Confluence, Jira Service Management, Jira, Bamboo ve Crowd): Kurulum yedeklendikten sonra kümedeki her düğümde RewriteValve etkinleştirilir, üreticinin yayımladığı rewrite.config dosyası WEB-INF dizinine eklenir ve düğüm yeniden başlatılır.
- urlrewrite.xml kuralı (yalnızca Bitbucket): Kurulum yedeklendikten sonra kural bütün düğümlerde, aynalarda ve ayna çiftliği düğümlerinde urlrewrite.xml dosyasının başına eklenir ve Bitbucket yeniden başlatılır.
Genel savunma önerisi (üretici talimatı değildir): Crowd ile tümleşik kurulumlarda Crowd'a ağ erişimi yalnızca bağlı uygulama sunucularıyla sınırlandırılmalıdır. Bağımsız teknik analize göre kısıtlayıcı bir IP izin listesi, 2.2'deki senaryonun uygulanmasını önemli ölçüde zorlaştırmaktadır.10
Etkisizleştirme önlemleri kalıcı güvenlik güncellemesinin yerine geçmemektedir.
5. Kalıcı Çözüm (Remediation)
Kalıcı çözüm, etkilenen her kurulumun 2.1'de verilen düzeltilmiş sürümlere veya daha yenisine güncellenmesidir. Üretici, düzeltmeyi içeren uzun süreli destek (Long Term Support, LTS) sürümüne veya daha yenisine geçilmesini önermektedir.1 Güncel LTS dalları Jira Software ve Jira Service Management için 11.3, Confluence için 10.2, Bitbucket için 10.2, Bamboo için 12.1 ve Crowd için 7.2'dir.3
Düzeltme alan bazı dalların destek bitiş tarihi (end of support date) yaklaşmaktadır: Bitbucket 9.4 için 03.12.2026, Jira Software ve Jira Service Management 10.3 için 05.12.2026, Confluence 9.2 için 10.12.2026, Bamboo 10.2 için 20.12.2026, Fisheye ve Crucible 4.9 için 30.12.2026. Bu dallarda kalan kurumların LTS dalına geçişi planlaması gerekmektedir.3 Fisheye ve Crucible'ın satışı 13.05.2025'te durdurulmuştur; destek 15.05.2028'de sona erecektir.3 4
Atlassian Server ürünlerine 15.02.2024'ten bu yana destek ve hata düzeltmesi sağlanmamaktadır.4 Bu sürümleri kullanan kurumlar için yayımlanmış bir güvenlik düzeltmesi bulunmamaktadır; desteklenen bir Data Center sürümüne veya bulut hizmetine geçilmesi gerekmektedir.
Güncelleme yalnızca zafiyeti kapatmaktadır; güncelleme öncesinde okunmuş olabilecek dosyalar ve bu dosyalardaki kimlik bilgileri bu işlemle korunmuş olmaz. Üretici, müşteri kurulumlarının etkilenip etkilenmediğini doğrulayamadığını belirterek her kurulumun ihlal izleri açısından incelenmesini istemektedir.1 CERT-EU, ihlal şüphesi varsa etkilenen kurulumların incelenmesini, ifşa olmuş olabilecek kimlik bilgilerinin ve gizli bilgilerin gözden geçirilip yenilenmesini ve ilgili siber güvenlik otoritesiyle iletişime geçilmesini önermektedir.5 Crowd ile tümleşik kurulumlarda crowd.properties dosyasındaki uygulama parolası bu kapsamda değerlendirilmelidir.10 Geriye dönük inceleme en az 05.10.2026 tarihli duyurudan itibaren yapılmalıdır. Bilinen en erken istismar girişimi 06.10.2026 tarihlidir; bu tarih daha önceki girişimlerin bulunmadığı anlamına gelmemektedir.
6. Tespit / İzleme (SOC/SIEM için)
6.1. Log Göstergeleri
Üretici, erişim kayıtlarının (access log) şu iki yöntemden biriyle incelenmesini önermektedir:1
- Her istek satırına en fazla iki kez URL kod çözme (URL decoding) uygulandıktan sonra ".." dizisinin "/", "\" veya "::" ile bitişik olduğu isteklerin aranması.
- Kodu çözülmemiş kayıt satırlarının, 4. bölümdeki WAF kuralında kullanılan düzenli ifadeyle doğrudan taranması.
Balküpü sistemlerinde gözlemlenen istismar girişimleri, eklenti web kaynaklarını sunan /download/resources/ ve /s/…/_/download/resources/ biçimindeki yollarda ardışık "..::" dizileri içermekte ve WEB-INF altındaki web.xml ile urlrewrite.xml dosyalarını hedeflemektedir.12 Bu istekler başarılı istismar kanıtı değildir. Başarı ancak isteğe hedef dosyanın içeriğiyle yanıt verildiğinin doğrulanmasıyla gösterilebilir; HTTP durum kodu tek başına başarı kanıtı sayılmamalıdır. Crowd ile tümleşik kurulumlarda Crowd'da beklenmeyen kullanıcı oluşturma ve yönetici grubuna kullanıcı ekleme işlemleri ayrıca incelenmelidir.10
6.2. IOC
Bu vakaya özgü, gerçek bir ele geçirmeyle ilişkilendirilmiş sabit ve kamuya açık doğrulanmış güvenlik ihlali göstergesi (indicator of compromise, IOC) yayımlanmamıştır.
Bir internet güvenliği izleme merkezi, balküpü sistemlerine yönelik istismar girişimlerinin geldiği bazı kaynak adresleri yayımlamıştır:12
Bu adreslerin tamamı aynı bulut sağlayıcısına aittir ve 07.10.2026 tarihli balküpü gözlemine dayanmaktadır. Bu adresler ele geçirme göstergesi değil, tarama ve istismar girişimi kaynağıdır. Bulut adresleri kısa sürede başka kullanıcılara geçebildiği için kayıtların geriye dönük taranmasında yararlıdır; kalıcı engelleme listesi olarak kullanılması yanlış pozitif üretebilir.
6.3. Tespit Kuralı Önerisi
Kamuya açık hazır tespit ve tarama içerikleri:
- Üretici düzenli ifadesi: 4. bölümdeki WAF kuralı, üreticiye göre erişim kayıtlarının taranmasında da kullanılabilmektedir.1
- Nuclei tarama şablonu (CVE-2026-21589.yaml): Hedefe dosya okuma isteği göndererek zafiyeti etkin olarak doğrulamaktadır. Yalnızca kurumun kendi sistemlerinde ve yetkiyle kullanılmalıdır.17
- Kamuya açık tespit aracı: Jira, Confluence ve Bitbucket kurulumlarında zafiyetin varlığını denetlemektedir.16
- Rapid7 InsightVM ve Nexpose: Üretici, Jira için kimliği doğrulanmış ve kimliği doğrulanmamış denetimler yayımlamıştır. Sürüm bilgisine dayalı denetimler istismar veya ele geçirme kanıtı değildir; yalnızca savunmasız sürümün varlığını göstermektedir.18
- CrowdSec: 07.10.2026 tarihinde bu istismar örüntüsünü tespit eden bir senaryo yayımlanmıştır.13
Analist tarafından önerilen davranış korelasyonu (hazır veya doğrulanmış bir istismar imzası değildir):
- Aynı kaynaktan gelen "..::" içeren eklenti kaynağı istekleri ile bu isteklere verilen başarılı yanıtların ilişkilendirilmesi
- Bu isteklerin ardından aynı kaynaktan veya beklenmeyen bir kaynaktan Crowd REST API'sine yapılan uygulama kimlik doğrulamalarının ilişkilendirilmesi
- Kısa süre içinde Crowd'da yeni kullanıcı oluşturulması ve kullanıcının Jira yönetici grubuna eklenmesinin ilişkilendirilmesi
7. Kaynaklar
- Atlassian - CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products
- Atlassian - Atlassian Enterprise | Data Center | Atlassian
- Atlassian - Atlassian End of Support Policy
- Atlassian - Server End of Support FAQ
- CERT-EU - Critical Vulnerability in Multiple Atlassian Products
- Centre canadien pour la cybersécurité - Bulletin de sécurité Atlassian (AV26-1002) - Mise à jour 2
- CISA - Known Exploited Vulnerabilities Catalog
- CISA - CISA Adds One Known Exploited Vulnerability to Catalog
- CVE Program - CVE Record: CVE-2026-21589
- watchTowr Labs - You Won’t Hear About These, Even In Myths (Atlassian Jira, Confluence (and more) Pre-Auth Arbitrary File Read CVE-2026-21589)
- Previdian - CVE-2026-21589 Exploitation Attempts Observed — Atlassian | Previdian
- SANS Internet Storm Center - Scans for Atlassian vulnerablity (CVE-2026-21589)
- CrowdSec - Atlassian CVE-2026-21589: From file read to Jira admin in one request
- NIST NVD - CVE-2026-21589 Detail
- FIRST - EPSS API
- watchTowr Labs - watchtowrlabs/watchTowr-vs-Atlassian-CVE-2026-21589
- ProjectDiscovery - nuclei-templates/http/cves/2026/CVE-2026-21589.yaml
- Rapid7 - CVE-2026-21589: Critical unauthenticated arbitrary file access in Atlassian products
- Help Net Security - Exploitation attempts against critical Atlassian flaw have begun (CVE-2026-21589)
- The Hacker News - Atlassian Data Center Flaw Draws Exploitation Attempts Within Two Hours of Public Details
