Nhiều đội phát triển ở Việt Nam vẫn tự host Jira, Confluence hay Bitbucket trên VPS hoặc máy chủ riêng để giữ dữ liệu trong nhà. Nhóm này cần chú ý tới CVE-2026-21589. Đây là lỗi đọc tệp tùy ý không cần đăng nhập, ảnh hưởng tới tám sản phẩm Atlassian Data Center. Lỗi bị dò quét chỉ vài giờ sau khi chi tiết kỹ thuật được công bố và đã nằm trong danh mục KEV của CISA.

Tóm tắt nhanh

  • Ai bị ảnh hưởng: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible và Fisheye bản Data Center hoặc tự host, ở mọi phiên bản trước bản vá. Atlassian Cloud không bị ảnh hưởng.
  • Mức độ: Critical, CVSS 9.3. Kiểu lỗi là truy cập tệp tùy ý (CWE-552) trước khi xác thực.
  • Đã bị khai thác chưa: có. VulnCheck đưa lỗi vào danh sách KEV của mình ngày 7/10. CISA đưa vào KEV ngày 15/10 và yêu cầu các cơ quan liên bang Mỹ vá trước ngày 18/10.

Lỗ hổng hoạt động thế nào

Atlassian công bố advisory ngày 5/10/2026. Lỗi nằm trong thư viện dùng chung atlassian-plugins-webresource, phần xử lý tài nguyên web của các sản phẩm. Theo watchTowr Labs, cách thư viện này xử lý đường dẫn cho phép vượt qua lớp chống duyệt thư mục (path traversal). Nhờ đó, người chưa đăng nhập có thể đọc một số tệp trong thư mục gốc của ứng dụng web, kể cả tệp trong WEB-INF. Security Affairs lưu ý kẻ tấn công phải biết chính xác tên và đường dẫn tệp, vì lỗi không cho phép liệt kê thư mục.

Đọc tệp nghe có vẻ ít nguy hiểm hơn chạy mã, nhưng hậu quả có thể rất lớn. Trong phân tích công bố ngày 6/10, watchTowr cho thấy trên hệ thống Jira kết nối với Crowd, kẻ tấn công có thể đọc tệp crowd.properties chứa thông tin đăng nhập mà Jira dùng để làm việc với Crowd. Từ đó họ có thể tạo người dùng mới và thêm vào nhóm quản trị Jira. Theo Security Affairs, danh sách IP cho phép (IP allowlist) trong Crowd có thể chặn đường tấn công này.

Diễn biến khai thác

  • 5/10: Atlassian công bố advisory và bản vá.
  • 6/10: watchTowr công bố phân tích kỹ thuật và công cụ giúp kiểm tra máy chủ có bị ảnh hưởng không. Theo Security Affairs, honeypot của watchTowr ghi nhận các lần thử khai thác chỉ hai giờ sau khi chi tiết bổ sung được công bố.
  • 7/10: VulnCheck thấy khai thác nhắm vào Bamboo Data Center. Dữ liệu từ Previdian ghi nhận 15 lần thử từ ba IP ở Nhật Bản và Mỹ.
  • 15/10: CISA đưa CVE-2026-21589 vào danh mục KEV.

Theo watchTowr, phần lớn hoạt động hiện nay là dò dấu vân tay và quét tìm tệp cấu hình. Chưa thấy hoạt động sau xâm nhập. Greenbone ghi nhận đã có mã khai thác công khai cho cả lỗi đọc tệp lẫn chuỗi chiếm tài khoản.

Phiên bản vá theo từng sản phẩm

Sản phẩm Data CenterPhiên bản vá (mọi bản trước đó đều bị ảnh hưởng)
Jira Software9.12.40, 10.3.26, 11.3.12
Jira Service Management5.12.40, 10.3.26, 11.3.12
Confluence9.2.26, 10.2.19
Bitbucket9.4.26, 10.2.8, 10.5.1
Bamboo10.2.24, 12.1.12
Crowd6.3.7, 7.0.3, 7.1.7, 7.2.4
Crucible4.9.15
Fisheye4.9.15

Bảng trên trùng khớp giữa Infosecurity Magazine, Security Affairs và Greenbone. Bạn chọn bản vá cùng nhánh với bản đang chạy, hoặc nâng lên bản mới nhất.

Kiểm tra phiên bản

Cách nhanh nhất là xem trong giao diện quản trị (Administration > System information) hoặc ở chân trang. Trên máy chủ Linux cài theo mặc định, bạn có thể kiểm tra từ dòng lệnh:

# Jira: xem phiên bản trong log khởi động (đường dẫn home có thể khác)
grep -m1 -i "Version" /var/atlassian/application-data/jira/log/atlassian-jira.log

# Confluence: tệp thuộc tính trong thư mục cài đặt
grep -i "version" /opt/atlassian/confluence/confluence/META-INF/maven/com.atlassian.confluence/confluence-webapp/pom.properties 2>/dev/null

# Bitbucket/Jira/Confluence chạy bằng Docker
docker ps --format "table {{.Names}}\t{{.Image}}" | grep -Ei "jira|confluence|bitbucket|bamboo|crowd"

# Kiểm tra dịch vụ có đang mở ra Internet không
sudo ss -tlnp | grep -E ":(8080|8090|7990|8085|8095)\b"

Đường dẫn cài đặt thay đổi tùy cách bạn triển khai. Các cổng trên là cổng mặc định phổ biến của Jira, Confluence, Bitbucket, Bamboo và Crowd.

Việc cần làm ngay

Với đội tự host Atlassian trên VPS hoặc máy chủ riêng

  1. Lập danh sách mọi bản Atlassian Data Center đang chạy, kể cả máy thử nghiệm hay máy cũ bị bỏ quên.
  2. Nâng cấp lên bản vá trong bảng. Bản đã hết vòng đời không được vá, nên cần lên nhánh còn hỗ trợ.
  3. Nếu chưa nâng cấp được, áp dụng giảm thiểu tạm của Atlassian: quy tắc WAF, chặn bằng RewriteValve của Tomcat, hoặc quy tắc urlrewrite.xml cho Bitbucket. Đồng thời đưa hệ thống ra sau VPN.
  4. Với Jira kết nối Crowd: đổi mật khẩu ứng dụng Crowd, bật danh sách IP cho phép, và kiểm tra nhóm jira-administrators có tài khoản lạ không.
  5. Đổi mật khẩu cơ sở dữ liệu và các khóa lưu trong tệp cấu hình nếu hệ thống từng mở ra Internet khi chưa vá.
  6. Xem log truy cập Tomcat hoặc reverse proxy để tìm yêu cầu bất thường nhắm tới tài nguyên web từ đầu tháng 10. Atlassian cho biết hãng không thể xác nhận thay bạn liệu một máy cụ thể đã bị tấn công hay chưa.

Với người dùng dịch vụ quản lý hoặc Cloud

  • Atlassian Cloud không bị ảnh hưởng, bạn không cần làm gì.
  • Nếu thuê bên thứ ba vận hành Jira hoặc Confluence, hãy yêu cầu họ xác nhận phiên bản đang chạy và thời điểm vá.

Nguồn tham khảo