Atlassian : huit produits, un fichier, et il faut déjà connaître son nom

Le vestiaire te tend un manteau. Pas n'importe lequel : celui dont tu énonces déjà le numéro, à voix haute, sans te tromper d'un chiffre. Il n'y a pas de liste affichée. Pas de portemanteau à parcourir. Si tu ne connais pas le ticket, tu repars les mains vides. Si tu le connais, le préposé ne te demande même pas qui tu es.

Le 5 octobre 2026, Atlassian publie l'avis CVE-2026-21589. Huit noms sur la première ligne : Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible, Fisheye. Toutes les versions, dit le tableau, sont concernées. La formulation juste au-dessus précise : toutes les versions antérieures aux correctifs listés. Les deux phrases disent la même chose une fois que tu as le tableau. Avant, elles ont l'air de se contredire. Elles ne se contredisent pas.

Ce que la porte ouvre, et ce qu'elle refuse

Un attaquant sans compte peut accéder à des fichiers précis, à l'intérieur du répertoire racine de l'application web. Il faut qu'il connaisse déjà le nom exact et le chemin. L'avis le répète, et c'est la phrase que je ne veux pas que tu sautes : cette vulnérabilité ne permet pas d'énumérer un dossier, ni d'en lister le contenu.

Ce n'est donc pas une visite guidée du disque. C'est un guichet. Le danger, Atlassian le met dans la phrase d'après : dans certaines configurations, des fichiers sensibles sont là, et ils augmentent le risque. Un fichier de config, une clé, un secret posé au mauvais endroit dans l'arborescence web. Le vestiaire ne devine pas. Quelqu'un qui arrive avec le bon numéro, si, repart avec le manteau.

La note interne est critique, 9,3, vecteur CVSS 4.0 AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H. Lu sans le jargon : sur le composant vulnérable, la confidentialité est haute, l'intégrité et la disponibilité sont à zéro. Le système d'après, lui, est noté haut sur les trois. Atlassian présente ça comme son évaluation, à remettre sur ton environnement. Moi je le lis comme ceci : la faille, toute seule, ne réécrit pas le serveur et ne le met pas par terre. Elle fait sortir un fichier. La note explose parce que ce fichier peut être la clé de la suite. Ce n'est pas un RCE écrit noir sur blanc. C'est un vestiaire dont certains tickets ouvrent l'immeuble.

Le cloud a déjà raccroché les manteaux

Les produits Atlassian Cloud concernés sont corrigés. L'enquête, dit l'avis, n'a pas trouvé de trace d'exploitation. Aucune action pour les clients cloud. Je m'arrête là. « Pas trouvé » n'est pas « impossible que ». C'est ce qu'ils ont vu.

Côté auto-hébergé, Atlassian écrit qu'il ne peut pas te dire si tes instances ont été touchées. Ça, c'est à ton équipe de le chercher dans les journaux d'accès. L'avis indique comment. Je ne recopie pas la méthode : elle décrit précisément le motif à chercher, et un motif de traversée de chemin n'a rien à faire dans un article.

Le tableau des numéros, pas celui des regrets

Atlassian demande de patcher, ou de passer à la dernière version. Les correctifs annoncés :

• Bitbucket Data Center : 9.4.26, 10.2.8, 10.5.1
• Confluence Data Center : 9.2.26, 10.2.19
• Jira Service Management Data Center : 5.12.40, 10.3.26, 11.3.12
• Jira Software Data Center : 9.12.40, 10.3.26, 11.3.12
• Bamboo Data Center : 10.2.24, 12.1.12
• Crowd Data Center : 6.3.7, 7.0.3, 7.1.7, 7.2.4
• Crucible : 4.9.15
• Fisheye : 4.9.15

Le piège de lecture, ici, c'est Jira. Service Management et Software ne partagent pas la même vieille branche : 5.12.40 d'un côté, 9.12.40 de l'autre. Les deux lignes du milieu, 10.3.26 et 11.3.12, se ressemblent. La première, non. Un copier-coller entre les deux produits, et tu as l'air d'avoir patché.

Si tu ne peux pas monter de version aujourd'hui, l'avis dit de retirer l'instance d'Internet en attendant, y compris quand une authentification est déjà devant. Des contournements temporaires sont décrits : une règle de pare-feu applicatif, une réécriture Tomcat pour une partie des produits, une règle dans urlrewrite.xml pour Bitbucket seulement. Ils sont dans l'avis. Ils n'ont pas leur place recopiés à moitié ici. Un filtre qui rate le motif ne protège pas. Un filtre qui l'attrape trop large peut aussi coucher l'application. Les deux se vérifient sur ta machine, pas dans mon résumé.

✍️ À toi : lesquels de ces huit tu héberges vraiment, et lesquels sont encore exposés sans être « le Confluence dont tout le monde parle ». Crucible et Fisheye sont sur la même liste. Ils n'ont pas le même public.

Le cloud peut se rendormir, d'après leur enquête. Le Data Center, non. Pas parce qu'un inconnu peut flâner dans les dossiers. Parce qu'un inconnu qui arrive avec un nom déjà en poche n'a pas besoin de compte pour que le préposé décroche le manteau.