Atlassian 10月5日发布安全公告，披露了一个编号为 CVE-2026-21589 的严重漏洞：无需任何登录，攻击者就能读取八款 Data Center 自建版产品的 Web 应用根目录下的指定文件。该漏洞 CVSS 评分为9.3，属于最高一档的"严重"级别。
受影响的产品包括 Jira Software、Jira Service Management、Confluence、Bitbucket、Bamboo、Crowd、Crucible 和 Fisheye 的 Data Center 版——也就是企业自己搭建在机房或云服务器上的版本。Atlassian 的云服务用户不受影响，云端版本已经打过补丁。
从技术上说，这是一个"路径遍历"（path traversal）漏洞。攻击者构造一个带目录跳转序列的特殊 URL 发给服务器，服务器就会把本该保密的文件乖乖交出来，整个过程不需要账号、不需要权限、不需要用户配合。
漏洞也有它的局限：攻击者必须事先知道目标文件的确切文件名和路径，不能列出目录里有什么。但 Atlassian 自己的警告写得很直白："在某些配置下，Web 根目录里可能放着敏感文件，你的风险会被放大。"
这正是安全行业紧张的原因。Atlassian 产品的 Web 根目录里经常躺着数据库连接字符串、LDAP 绑定凭证、应用配置文件，有些部署环境里还放着 CI/CD 流水线的令牌和服务账号密钥。攻击者不需要提权、不需要横向移动，只要猜对路径，就能直接拿到这些东西。
多家安全媒体援引 Atlassian 的公告指出，暴露的是特定已知文件，不是整个服务器文件系统——但"知道文件名"这个门槛，在标准化部署和默认配置面前并不高。
Atlassian 给每款产品都发布了修复版本：Jira Data Center 升到 9.12.40、10.3.26 或 11.3.12；Confluence 升到 9.2.26 或 10.2.19；Bitbucket 升到 9.4.26、10.2.8 或 10.5.1；Bamboo 升到 10.2.24 或 12.1.12；Crowd 升到 6.3.7、7.0.3、7.1.7 或 7.2.4；Fisheye 和 Crucible 升到 4.9.15。所有比修复版更早的版本都在影响范围内，包括已经停止维护的老版本。
Atlassian 建议，能升级就尽快升级；实在排不出变更窗口的，先把实例从公网断开，或者按官方公告里的临时缓解措施部署拦截规则。公网可达的实例——哪怕有登录保护——在修补前都应限制外部访问。
据安全媒体梳理，Atlassian 在10月2日和3日开了内部修复工单，10月5日正式发布公告和补丁。公司没有透露是谁报告的这个漏洞。截至目前，没有确认的野外利用案例，也没有公开的概念验证代码——但这在高危漏洞披露初期很常见，补丁落地的窗口期正是最危险的时候。
对企业 IT 来说，判断标准很简单：如果你司的 Jira 或 Confluence 是自建 Data Center 版且挂在公网上，这周的头等大事就是打补丁；已经迁移到 Atlassian Cloud 的，可以松口气——这波与你无关。