Faille Atlassian CVE-2026-21589 : infonuagique ou auto-hébergé, qui doit corriger ?
Le 5 octobre 2026, Atlassian a publié un avis de sécurité sur CVE-2026-21589, une faille notée 9,3 sur 10 qui touche huit de ses produits auto-hébergés, dont Jira, Confluence et Bitbucket. Trois jours plus tard, cette faille Atlassian est exploitée : la firme Previdian a détecté des tentatives d’attaque sur son réseau de leurres moins de deux heures après la publication d’une preuve de concept par les chercheurs de watchTowr, et VulnCheck l’a ajoutée le 7 octobre à sa liste de failles exploitées.
Votre entreprise n’utilise peut-être pas Jira. Mais votre agence web, votre firme de développement ou votre fournisseur de logiciel, très probablement oui. Et la question qui compte est la même pour tous les logiciels : qui applique le correctif ?
Infonuagique ou auto-hébergé : la comparaison qui change tout
| Atlassian Cloud | Data Center (auto-hébergé) | |
|---|---|---|
| Qui héberge | Atlassian | Vous ou votre fournisseur (vos serveurs, AWS, Azure…) |
| Correctif CVE-2026-21589 | Déjà appliqué par Atlassian | À installer par vous, produit par produit |
| Action requise | Aucune, selon Atlassian | Mettre à jour, ou appliquer une mesure temporaire (règle de pare-feu applicatif, filtre Tomcat) |
| Vérifier une intrusion | Atlassian dit n’avoir trouvé aucune preuve d’exploitation | Atlassian ne peut pas le confirmer pour vous : c’est à votre équipe de fouiller les journaux |
C’est la leçon la plus utile de cette nouvelle, et elle dépasse Atlassian : un logiciel infonuagique est corrigé par l’éditeur ; un logiciel installé chez vous (ou sur votre serveur loué) attend que quelqu’un s’en occupe.
Pourquoi « lire un fichier » peut mener à un compte administrateur
La faille permet, sans mot de passe, de lire certains fichiers du dossier web de l’application, à condition de connaître leur nom exact. Ça semble limité. watchTowr a montré comment l’enchaîner :
MAILLON 1
Lire un fichier de configuration
Quand Jira est relié à Crowd (l’outil d’authentification unique d’Atlassian), le fichier crowd.properties contient le nom et le mot de passe de l’application, en clair.
MAILLON 2
Utiliser ces identifiants
Avec eux, un pirate peut parler à Crowd comme s’il était Jira, si Crowd est joignable et que ses restrictions d’adresses IP ne l’en empêchent pas.
MAILLON 3
Se créer un compte administrateur
Crowd gère les utilisateurs : le pirate peut créer un compte et l’ajouter à un groupe d’administrateurs. Dans la démonstration de watchTowr, cela menait à un accès administrateur à Jira.
Yordan Ganchev, de watchTowr, cité par eSecurity Planet, prévient que les organisations qui utilisent Crowd pour l’authentification unique « devraient être extra prudentes ».
Les versions corrigées
| Produit | Versions corrigées |
|---|---|
| Jira Software Data Center | 9.12.40 · 10.3.26 · 11.3.12 |
| Jira Service Management Data Center | 5.12.40 · 10.3.26 · 11.3.12 |
| Confluence Data Center | 9.2.26 · 10.2.19 |
| Bitbucket Data Center | 9.4.26 · 10.2.8 · 10.5.1 |
| Bamboo Data Center | 10.2.24 · 12.1.12 |
| Crowd Data Center | 6.3.7 · 7.0.3 · 7.1.7 · 7.2.4 |
| Crucible | 4.9.15 |
| Fisheye | 4.9.15 |
Votre liste de vérification
- ☐ Inventaire : utilisez-vous, vous ou un fournisseur, un de ces huit produits en version auto-hébergée ?
- ☐ Priorité aux instances visibles d’Internet, comme le recommande CERT-EU.
- ☐ Mise à jour vers une version corrigée, ou mesure temporaire d’Atlassian en attendant.
- ☐ Journaux : chercher les motifs de traversée de répertoire décrits dans l’avis d’Atlassian.
- ☐ Si Crowd est utilisé : changer le mot de passe d’application et vérifier les comptes et groupes administrateurs créés récemment.
- ☐ Fournisseurs : écrire à votre agence ou firme de développement pour savoir si leurs outils, qui contiennent souvent vos projets et vos accès, sont corrigés.
Même logique que pour SharePoint et le rançongiciel Warlock ou le service d’assistance Zammad : les outils de collaboration auto-hébergés sont des cibles de choix. Notre surveillance automatisée 24/7 avec intervention du technicien de garde vous aide à repérer les comportements anormaux, et nos services de cybersécurité couvrent la gestion des correctifs.
Réservez votre Bilan cyber gratuit
Vous ne savez pas quels logiciels auto-hébergés tournent chez vous ou chez vos fournisseurs ? On en fait l’inventaire avec vous et on vous dit quoi corriger en premier.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Atlassian — CVE-2026-21589, Confluence Data Center (CONFSERVER-104488) (en anglais)
- Infosecurity Magazine — Critical Flaw in Multiple Atlassian Products Exploited in the Wild (8 octobre 2026, en anglais)
- eSecurity Planet — Critical Atlassian File Access Flaw Draws Attacks Across Eight Products (en anglais)
- CERT-EU — Security Advisory 2026-015 (en anglais)
Photo : Walls.io, Pexels (licence Pexels).
One thought on “Faille Atlassian CVE-2026-21589 : infonuagique ou auto-hébergé, qui doit corriger ?”