Atlassian เปิดทางอ่านไฟล์โดยไม่ล็อกอิน CVE-2026-21589 ถูกโจมตีจริง
ผู้ดูแล Atlassian รุ่นที่ได้รับผลกระทบควรแพตช์ทันที โดยเฉพาะระบบที่เข้าถึงได้จากอินเทอร์เน็ต เพราะมีการโจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีไม่ต้องล็อกอินก็เข้าถึงไฟล์บางรายการใน web application root ได้ หากรู้ชื่อและพาธที่แน่นอน
- ใครควรอ่าน
- กระทบ Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd รุ่น Data Center รวมถึง Crucible และ Fisheye
- ทางแก้แบบสั้น
- อัปเดตทุกรายการติดตั้งเป็นรุ่นแก้ตามตาราง และจำกัดการเข้าถึงจากภายนอกระหว่างรอแพตช์ตามคำแนะนำ Atlassian
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-21589 ของ Atlassian ซึ่งเปิดให้คนนอกเข้าถึงไฟล์บางรายการโดยไม่ต้องล็อกอิน ช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว CISA เพิ่มเข้ารายการวันที่ 15 ตุลาคม 2026 และกำหนดวันครบกำหนดแก้ไขเป็น 18 ตุลาคม 2026 ตามรายการ KEV ผู้ดูแลระบบที่ใช้ผลิตภัณฑ์กลุ่มนี้ควรเร่งตรวจและแพตช์ โดยเฉพาะเครื่องที่เปิดรับการเชื่อมต่อจากอินเทอร์เน็ต (ข้อมูล KEV ทางการของ CISA)
เกิดอะไรขึ้น
ประกาศ Atlassian วันที่ 5 ตุลาคม 2026 เรียกปัญหานี้ว่า Arbitrary File Access ผู้โจมตีจากระยะไกลอ่านไฟล์บางรายการใน web application root ได้โดยไม่ต้องล็อกอิน แต่ต้องรู้ชื่อไฟล์และพาธที่แน่นอน ช่องโหว่นี้ใช้ไล่ดูรายชื่อไฟล์ในโฟลเดอร์ไม่ได้ หากมีไฟล์ที่เก็บข้อมูลสำคัญอยู่ในตำแหน่งนั้น ข้อมูลก็อาจรั่วไหล (CVE record)
Atlassian ประเมินความรุนแรงไว้ที่ Critical คะแนน CVSS 4.0 เท่ากับ 9.3 การมีหน้าล็อกอินไม่ได้ตัดความเสี่ยง เพราะการโจมตีไม่ต้องมีบัญชีผู้ใช้ (ประกาศ Atlassian)
ใครโดนและรุ่นที่แก้
ตารางนี้เก็บเลขรุ่นเริ่มต้นจากคำอธิบายใน CVE และรุ่นแก้จากผู้ผลิตไว้ให้เทียบกัน แต่ข้อมูลขอบเขตไม่ตรงกัน: คำอธิบาย CVE ระบุรุ่นเริ่มต้น ขณะที่ช่อง affected ใน CVE และประกาศ Atlassian ระบุว่าทุกรุ่นก่อนรุ่นแก้ได้รับผลกระทบ อย่าใช้เลขรุ่นเริ่มต้นในตารางตัดรุ่นเก่าออกจากการตรวจ ให้ยึดขอบเขตที่กว้างกว่าของประกาศผู้ผลิต (CVE JSON)
| ผลิตภัณฑ์ | รุ่นเริ่มต้นในคำอธิบาย CVE (ดูหมายเหตุ) | รุ่นที่แก้แล้ว |
|---|---|---|
| Bitbucket Data Center | 4.6.0 | 9.4.26, 10.2.8, 10.5.1 |
| Confluence Data Center | 5.10.0 | 9.2.26, 10.2.19 |
| Jira Service Management Data Center | 3.1.0 | 5.12.40, 10.3.26, 11.3.12 |
| Jira Software Data Center | 7.1.0 | 9.12.40, 10.3.26, 11.3.12 |
| Bamboo Data Center | 7.0.1 | 10.2.24, 12.1.12 |
| Crowd Data Center | 2.11.0 | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible | ไม่ระบุรุ่นเริ่มต้น | 4.9.15 |
| Fisheye | ไม่ระบุรุ่นเริ่มต้น | 4.9.15 |
ประกาศรวมระบุว่ารุ่นก่อนรุ่นแก้ของผลิตภัณฑ์เหล่านี้ได้รับผลกระทบ รวมถึง Crucible และ Fisheye (ประกาศ Atlassian, Jira Software, Jira Service Management)
Atlassian ระบุว่าผลิตภัณฑ์ Cloud ที่ได้รับผลกระทบได้รับการแก้แล้ว ลูกค้า Cloud ไม่ต้องดำเนินการเพิ่มเติมสำหรับช่องโหว่นี้ (ประกาศ Atlassian)
ต้องทำอะไร
ตรวจชื่อผลิตภัณฑ์และรุ่นของทุกรายการติดตั้ง แล้วอัปเดตตามขั้นตอนของผลิตภัณฑ์นั้น ผู้ผลิตแนะนำรุ่น LTS ที่แก้แล้วหรือรุ่นใหม่กว่า โดยต้องตรวจรุ่นเก่าที่ใช้งานอยู่ด้วย (ประกาศ Atlassian)
Atlassian แนะนำให้ถอดระบบออกจากอินเทอร์เน็ตหากทำได้ หรือจำกัดการเข้าถึงจากเครือข่ายภายนอกจนกว่าจะติดตั้งแพตช์หรือมาตรการชั่วคราว รวมถึงระบบที่มีหน้าล็อกอินอยู่แล้ว
ผู้ผลิตมีทางเลือกชั่วคราว ได้แก่ กฎ WAF หรือ proxy ที่รองรับ regex สำหรับทุกผลิตภัณฑ์, Tomcat RewriteValve สำหรับ Confluence, Jira Service Management, Jira, Bamboo และ Crowd และกฎใน urlrewrite.xml สำหรับ Bitbucket ควรใช้กฎและขั้นตอนจากประกาศโดยตรง พร้อมทดสอบการกรอง URL ที่เข้ารหัส สำหรับ Bitbucket ต้องครอบคลุมทุก node รวมถึง mirror และ mirror farm มาตรการเหล่านี้ใช้ชั่วคราวระหว่างรอแพตช์ (ขั้นตอนจาก Atlassian)
ให้ทีมความปลอดภัยตรวจ access logs หาร่องรอยด้วย ผู้ผลิตแนะนำให้ URL-decode แต่ละ request ไม่เกินสองรอบ แล้วตรวจ .. ที่อยู่ติดกับ /, \ หรือ :: หรือค้น log ดิบด้วย regex ที่ให้ไว้ การอัปเดตซอฟต์แวร์ควรทำควบคู่กับการตรวจว่ามีไฟล์ถูกเข้าถึงไปก่อนหรือไม่ (แนวทางตรวจสอบ)
ส่วนตัวผมมองว่าควรแพตช์ทันที เพราะมีการโจมตีจริงและไม่ต้องล็อกอิน โดยเริ่มจากระบบที่บุคคลภายนอกเข้าถึงได้ ที่มา: CVE-2026-21589, CISA KEV และ Atlassian Security Advisory หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย