Atlassian, CVE-2026-21589 취약점 패치…공개 직후 공격 시도 관측

Atlassian이 2026년 10월 5일 보안 권고문을 발표하고 CVE-2026-21589에 대한 수정 버전을 공개했다. 이 취약점은 CVSS 4.0 기준 9.3점으로, 인증 없이 특정 파일을 읽을 수 있게 한다.

영향을 받는 제품은 Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd의 Data Center 버전과 Crucible, Fisheye다. Atlassian Cloud 제품은 이미 패치가 완료돼 사용자가 별도로 조치할 필요가 없다고 회사는 밝혔다.

WatchTowr는 2026년 10월 6일 기술 분석을 공개했고, 약 2시간 뒤 허니팟에서 취약점 악용 시도가 관측됐다. SANS Internet Storm Center는 2026년 10월 7일 보고서에서 전날부터 공개된 공격 경로를 사용한 요청이 허니팟에 도달했다고 확인했다.

WatchTowr 연구진은 테스트 환경에서 'crowd.properties' 통합 파일에서 애플리케이션 자격 증명을 읽고 이를 이용해 사용자를 생성한 뒤 Jira 관리자 그룹에 추가했다.

Atlassian은 즉시 패치가 어려운 경우 외부 인터넷 접근을 제한하고 WAF 또는 제품별 요청 차단 설정을 적용하라고 권고했다.