Atlassian製品のCVE-2026-21589、悪用確認——Data Center版は更新を

CVE-2026-21589とは何か——Atlassian Data Center製品の脆弱性の概要と動作原理

2026年10月5日、Atlassianはおよそ8つのData Center製品に存在する脆弱性としてCVE-2026-21589を公開した（最終更新：2026年10月29日、出典：cve.org / CNA: Atlassian）。CVE記録上の弱点の種類は「Path Traversal (Arbitrary Read/Write)」で、CISA KEVにはCWE-552（外部からアクセス可能なファイル・ディレクトリ）と記載されている。認証されていない攻撃者がWebアプリケーションルートディレクトリ内の特定ファイルにアクセスできる状態となる。

動作の構造として把握しておくべき点が二つある。一つは前提条件——攻撃者は対象ファイルの正確な名前とパスを事前に把握している必要があり、ディレクトリ内容を列挙・一覧表示する機能は含まれない。もう一つはリスクの非対称性——構成によっては機密ファイルが存在する場合があり、その場合は深刻度が高くなる可能性がある。

影響を受ける製品は以下の8製品である。

• Bamboo Data Center（バージョン7.0.1以降で導入）
• Bitbucket Data Center（バージョン4.6.0以降で導入）
• Confluence Data Center（バージョン5.10.0以降で導入）
• Crowd Data Center（バージョン2.11.0以降で導入）
• Crucible
• Fisheye
• Jira Service Management Data Center（バージョン3.1.0以降で導入）
• Jira Software Data Center（バージョン7.1.0以降で導入）

CNAであるAtlassianによるCVSS 4.0スコアは9.3（Critical）。攻撃ベクターはネットワーク経由・低複雑性・認証不要・ユーザー操作不要（AV:N/AC:L/AT:N/PR:N/UI:N）であり、機密性への影響は高（VC:H）、完全性・可用性への影響はいずれもなし（VI:N/VA:N）と評価されている。システム全体の機密性・完全性・可用性への影響もいずれも高（SC:H/SI:H/SA:H）と評価されている。

関連記事テキストマイニングとは？意味・できること ／ GANとは？敵対的生成ネットワークの仕組み

CISA KEV掲載が示す緊急度——Data Center製品の脆弱性の悪用が現実に確認された事実

CVE-2026-21589は2026年10月15日、米国CISAのKnown Exploited Vulnerabilities（KEV）カタログに追加された（出典：CISA KEV）。KEV掲載が意味することは明確である——理論上の危険性ではなく、実際の攻撃での悪用が当局によって確認された、ということだ。

CISAが米連邦機関（FCEB）に示した対処期限は2026年10月18日。この期限は日本の民間企業に直接の法的拘束力を持つものではない。しかし、「KEV掲載＝悪用確認済み」という事実は、社内で更新の優先度を検討する際の材料となる。

CISAが示した必要な対処の要旨は次のとおりである。「ベンダーの指示に従って緩和策を適用し、CISA BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）およびCISAのフォレンジックトリアージ要件に準拠すること。緩和策が利用できない場合は製品の使用を中止すること」（出典：CISA KEV）。

加えて、脆弱性の悪用確率を統計的に推定するFIRST EPSSでは2026年10月29日時点で0.9948（パーセンタイル：0.9994）が記録されている。これは統計的な推定値であり悪用を確定するものではないが、高い水準にある。

製品別の修正版一覧——影響バージョンと照合すべき版番号

修正版は以下のとおり。複数の修正版が列挙されている製品は、使用中のメジャーバージョン系列に対応する版を選ぶ。

製品名	影響を受ける版	修正版（いずれかに更新）
Bamboo Data Center	修正版未満の全バージョン	10.2.24 / 12.1.12
Bitbucket Data Center	修正版未満の全バージョン	9.4.26 / 10.2.8 / 10.5.1
Confluence Data Center	修正版未満の全バージョン	9.2.26 / 10.2.19
Crowd Data Center	修正版未満の全バージョン	6.3.7 / 7.0.3 / 7.1.7 / 7.2.4
Crucible	修正版未満の全バージョン	4.9.15
Fisheye	修正版未満の全バージョン	4.9.15
Jira Service Management Data Center	修正版未満の全バージョン	5.12.40 / 10.3.26 / 11.3.12
Jira Software Data Center	修正版未満の全バージョン	9.12.40 / 10.3.26 / 11.3.12

出典：CVE-2026-21589（cve.org）/ NVD。修正版はAtlassianのCVE説明に基づく。配布パッケージを利用している場合は、当該ベンダーの告知に記載された修正版で判断すること。上流の版番号との直接比較は行わない。

公式の回避策について。CVE公式記録には、修正版への更新以外の回避策は記載されていない。

対処——修正版への更新とCISAの期限

• 修正版へ更新する。修正版は上の表のとおりで、公式告知はAtlassianのセキュリティ告知にある。
• 修正版への更新以外の回避策は、CVE公式記録には記載がない。詳細は公式告知を参照。
• CISAの対処期限は2026年10月18日（米連邦機関向けで、日本企業への義務ではない）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE-2026-21589 公式記録（cve.org / CNA: Atlassian、公開：2026-10-05、最終更新：2026-10-29）
  https://www.cve.org/CVERecord?id=CVE-2026-21589
• NVD — CVE-2026-21589（NIST National Vulnerability Database）
  https://nvd.nist.gov/vuln/detail/CVE-2026-21589
• CISA Known Exploited Vulnerabilities Catalog（KEV追加日：2026-10-15）
  https://www.cisa.gov/known-exploited-vulnerabilities-catalog