Atlassian CVE-2026-21589: Jira, Confluence ve Bitbucket'ta Kimliksiz Dosya Okuma Açığı, Düzeltilmiş Sürümler ve Geçici Önlemler

Açık ne yapıyor? (What the flaw does)

Atlassian açığı "rastgele dosya erişimi" (arbitrary file access) olarak sınıflandırıyor. Oturum açmamış bir saldırgan, web uygulamasının kök dizini içindeki dosyaları okuyabiliyor. Açığın iki sınırı var:

• Saldırganın hedef dosyanın tam adını ve yolunu bilmesi gerekiyor.
• Dizin listeleme yapılamıyor, yani klasör içeriği görülemiyor.

Bu sınırlar açığı zararsız yapmıyor. Atlassian ürünlerinin dizin yapısı herkesçe biliniyor, bu yüzden hangi yapılandırma dosyasının nerede durduğunu tahmin etmek kolay. Atlassian duyurusunda "bazı yapılandırmalarda riski artıran hassas dosyalar bulunabilir" diyor. Önem derecesi de bu yüzden yüksek: vektörde gizlilik etkisi yüksek, bütünlük etkisi yok, ama sonraki sistemlere etki (SC/SI/SA) yüksek olarak işaretlenmiş. Okunan bir bilgi, başka sistemlere girişin anahtarı olabilir.

Düzeltilmiş sürümler tablosu (Fixed versions)

Atlassian, kullandığınız hattın düzeltilmiş LTS sürümüne ya da daha yenisine geçmenizi öneriyor. İkili yama (binary patch) artık yayımlanmıyor; kritik düzeltmeler bakım sürümü olarak geri taşınıyor. Yani tek dosya değiştirerek kapatma seçeneği yok, sürüm yükseltmesi gerekiyor.

Hemen yamayamıyorsanız (Mitigations)

Atlassian'ın ilk önerisi, yama veya geçici önlem uygulanana kadar örneği internetten çıkarmak. Oturum açma ekranı olan ama dışarıdan erişilebilen örnekler de bu kapsamda. Bunun mümkün olmadığı yerler için üç geçici önlem var:

1. WAF veya proxy kuralı (tüm ürünler): URL'de .. ifadesinin /, \ ya da :: ile yan yana geçtiği istekleri, URL kodlanmış hâlleri dahil engelleyin. Kuralı canlıya almadan önce bu kalıplarla test edin.
2. Tomcat RewriteValve (Confluence, Jira, Jira Service Management, Bamboo, Crowd): Örneğin ve server.xml dosyasının yedeğini alın, uygulamanın <Context> öğesinde RewriteValve'i etkinleştirin, WEB-INF altına eşleşen istekleri reddeden bir rewrite.config ekleyin. Kümedeki her düğümde tekrarlayıp her birini yeniden başlatın.
3. urlrewrite.xml kuralı (yalnız Bitbucket): <kurulum-dizini>/app/WEB-INF/urlrewrite.xml dosyasının en üstüne, eşleşen URL'lere 404 döndüren bir kural ekleyin. Bütün küme düğümlerine, aynalara (mirror) ve ayna çiftliği düğümlerine uygulayın.

Ters vekil sunucu olarak nginx kullanıyorsanız, ilk önlem en hızlısı. Yalnız aynı nginx'in de güncel olduğundan emin olun; nginx 1.31.7 / 1.30.6 beş açığı kapatmıştı.

Erişim kayıtlarında iz arama (Log review)

Atlassian, örneklerin etkilenip etkilenmediğini kendisinin doğrulayamayacağını belirtiyor ve kayıt incelemesi öneriyor. İki yöntem var: her istek satırını en fazla iki kez URL çözümleyip .. ile /, \ veya :: yan yana mı diye bakmak, ya da duyurudaki düzenli ifadeyi ham kayıtlarda aramak. Basit bir başlangıç taraması şöyle olabilir:

# Ham erişim kayıtlarında üst dizine çıkma denemeleri (kodlanmış hâller dahil)
grep -iE '(\.\.|%2e%2e|%252e%252e)(/|\\|%2f|%5c|::)' access.log* | less

# Sonuç verenlerin kaynak IP'lerini say
grep -iE '(\.\.|%2e%2e|%252e%252e)(/|\\|%2f|%5c|::)' access.log* \
  | awk '{print $1}' | sort | uniq -c | sort -rn | head

Bu tarama yalnız deneme izlerini gösterir. Bir isteğe 200 yanıtı verilmişse, okunan dosyada geçen parola, belirteç (token) ve anahtarları değiştirmek gerekir.

Neden şimdi acil? (Why it is urgent now)

Duyurunun ilk gününde istismar bilgisi yoktu. 15 Ekim'de CISA'nın açığı KEV kataloğuna eklemesi, gerçek saldırılarda kullanıldığına dair kanıt bulunduğu anlamına geliyor. Açığın herkese açık incelemeleri de çıktı. Jira ve Confluence çoğu şirkette proje belgelerini, sunucu notlarını ve bazen erişim bilgilerini barındırıyor. Bitbucket ve Bamboo ise doğrudan kaynak koda ve derleme hattına bağlı. Bu yüzden bu tür bir okuma açığı, yazılım tedarik zincirine giriş kapısı olabilir.

Alesta WEB'de ekip araçlarını ve yönetim panellerini, internete doğrudan açmak yerine VPN veya IP kısıtlaması arkasında tutmayı öneriyoruz. Bu yaklaşım bu açıkta olduğu gibi kimliksiz saldırıların önünü büyük ölçüde keser.

Sık sorulan sorular

Atlassian Cloud kullanıyorum, etkileniyor muyum?

Hayır. Atlassian bulut ürünleri yamadı ve bulut tarafında istismar kanıtı bulmadığını açıkladı. Sizin bir şey yapmanız gerekmiyor.

Server (Data Center olmayan) sürüm kullanıyorum, ne yapmalıyım?

Server ürünlerinin desteği bitti ve yeni sürüm gelmiyor. Destekli bir Data Center sürümüne ya da Cloud'a geçene kadar örneği internetten çıkarın ve yukarıdaki WAF kuralını uygulayın.

Açık kod çalıştırmaya izin veriyor mu?

Duyuruya göre hayır, yalnız dosya okuma. Ancak okunan dosyalardan elde edilen bilgilerle başka sistemlere girilebileceği için önem derecesi kritik.

Hangi sürüme geçmeliyim?

Kullandığınız ana hattaki düzeltilmiş LTS sürümüne. Örneğin Jira 10.3 hattındaysanız 10.3.26 ya da sonrası.

İlgili yazılar: Zammad zero-day · nginx güvenlik güncellemesi · Ekim 2026 Patch Tuesday · Web hosting · İletişim

Kapak fotoğrafı: Taylor Vick / Unsplash