中II 网络战与关键基础设施2026年10月15日, 星期四
CISA将Atlassian严重漏洞列入已被利用清单
美国网络安全和基础设施安全局（CISA）10月15日将Atlassian数据中心产品中的CVE-2026-21589漏洞列入已知被利用漏洞目录，并要求联邦机构在10月18日前完成修补。
据Security Affairs报道，这是一个无需身份验证即可访问文件的漏洞，CVSS评分为9.3。受影响的产品共8款，包括Jira、Confluence、Bitbucket、Bamboo、Crowd、Crucible和Fisheye的本地数据中心版本，云版本已经修复。攻击者无法列出目录内容，但只要知道文件的完整路径，就能读取其内容。因此，该漏洞本身不能用于远程执行代码。
根据CrowdSec的时间线，Atlassian于10月5日发布补丁，watchTowr在10月6日公布技术分析，公开的漏洞利用代码也在同一天出现。Previdian在其蜜罐系统中，2小时内就发现了首批利用尝试。10月7日至11日，CrowdSec共记录6,657条信号。其中88%来自一个被判定为无害的研究扫描器，其余804条来自43个地址。
在CrowdSec观察到的攻击目标中，德国占35%，法国占15%，美国占11%；按行业看，贸易以56%居首。watchTowr在一个搜索引擎上统计到约70万个可见的Confluence部署。CISA在补丁发布10天后才作出列入目录的决定。截至10月15日，利用该漏洞的组织身份仍未公开。
Talay 研判
结论
该漏洞虽然不能执行代码，但可以读取配置文件和已存储的凭据，因此可能为第二阶段攻击打开大门。联邦机构只有3天期限，说明CISA判断漏洞利用正在加速。真正的风险在于私营部门和欧洲那些迟迟不打补丁的本地部署。
可能影响
- 企业IT负面数周内
本地部署的Jira和Confluence面临项目、代码和身份数据泄露风险，修补和排查成本在短期内上升。
- 欧洲企业负面数周内
在CrowdSec的数据中，50%的目标位于德国和法国；采用本地部署的贸易和工业企业暴露在漏洞窗口之中。
- 土耳其负面数周内
使用本地Atlassian的土耳其银行和软件企业同样受这一修补时间表约束；一旦延误，就可能面临个人数据泄露的通报风险。
可能情形（按概率排序）
- 1利用有限，补丁封堵55%
补丁迅速部署，没有出现与该漏洞相关的重大泄露通报。
观察指标: CISA和Atlassian是否发布与该漏洞相关的泄露通报
- 2出现连锁攻击30%
读取到的凭据与其他漏洞结合使用，入侵企业网络的案例陆续被报告。
观察指标: 关于该漏洞与远程代码执行漏洞被组合利用的报告
- 3勒索组织接手15%
勒索软件组织开始把该漏洞当作初始访问工具。
观察指标: 勒索软件泄露网站上是否出现源自Atlassian的数据公告
概率是基于来源的校准判断，并非测量结果，会随新信息更新。不构成投资建议。
市场反应
受影响的指标
- CVSS评分▼ 9.3
- 利用信号（10月7日至11日）▼ 6,657