كشفت شركة Atlassian عن ثغرة أمنية بالغة الخطورة تحمل المعرف CVE-2026-21589، تؤثر على ثمانية من منتجاتها المخصصة لبيئات Data Center المستضافة ذاتيًا، وتتيح للمهاجمين الوصول إلى ملفات محددة داخل خوادم المؤسسات دون الحاجة إلى تسجيل الدخول أو امتلاك أي صلاحيات مسبقة.
وصنفت الشركة الثغرة بدرجة خطورة 9.3 من 10 وفق نظام CVSS 4.0، في مؤشر واضح على حجم المخاطر التي قد تواجه المؤسسات التي تعتمد على هذه المنتجات في إدارة العمليات والتعاون المؤسسي وتطوير البرمجيات.
ثغرة قراءة الملفات دون مصادقة تثير المخاوف الأمنية
بحسب الإفصاح الأمني الصادر عن Atlassian، تتيح الثغرة للمهاجمين قراءة ملفات معروفة مسبقًا داخل الدليل الجذري لتطبيقات الويب الخاصة بالمنتجات المتأثرة. ويعني ذلك أن المهاجم يحتاج إلى معرفة اسم الملف ومساره الكامل مسبقًا، لكنه لا يستطيع استعراض محتويات المجلدات أو الحصول على قائمة بالملفات الموجودة داخله.
ورغم هذا القيد الظاهري، فإن الخطورة تكمن في أن بعض البيئات التشغيلية قد تحتوي داخل الدليل الجذري على ملفات حساسة تتضمن بيانات إعدادات أو معلومات تقنية يمكن استغلالها في مراحل لاحقة من الهجوم الإلكتروني.
ويُقصد بالدليل الجذري لتطبيق الويب المجلد الذي يضم التطبيق نفسه وجميع الملفات المرتبطة بتشغيله على الخادم. وفي العديد من البيئات المؤسسية، قد يحتوي هذا المجلد على معلومات تشكل هدفًا ثمينًا للمهاجمين الراغبين في جمع المعلومات الاستخباراتية التقنية تمهيدًا لاختراقات أوسع.
وأكدت Atlassian أن منتجاتها السحابية Cloud المتأثرة تم إصلاحها بالفعل، وأن العملاء الذين يستخدمون الخدمات السحابية لا يحتاجون إلى اتخاذ أي إجراءات إضافية.
المنتجات المتأثرة والإصدارات الآمنة
تؤثر الثغرة على جميع الإصدارات السابقة للإصدارات المصححة في ثمانية منتجات رئيسية، وهي:
Bitbucket Data Center
الإصدارات الآمنة: 9.4.26 و10.2.8 و10.5.1
Confluence Data Center
الإصدارات الآمنة: 9.2.26 و10.2.19
Jira Software Data Center
الإصدارات الآمنة: 9.12.40 و10.3.26 و11.3.12
Jira Service Management Data Center
الإصدارات الآمنة: 5.12.40 و10.3.26 و11.3.12
Bamboo Data Center
الإصدارات الآمنة: 10.2.24 و12.1.12
Crowd Data Center
الإصدارات الآمنة: 6.3.7 و7.0.3 و7.1.7 و7.2.4
Crucible
الإصدار الآمن: 4.9.15
Fisheye
الإصدار الآمن: 4.9.15
وأشارت الشركة إلى أن الثغرة قد تشمل حتى الإصدارات التي وصلت إلى نهاية دورة حياتها التشغيلية، وهو ما يجعل عملية التحديث ضرورة ملحة للمؤسسات التي لا تزال تعتمد على نسخ قديمة من منتجات Atlassian.
كما ظهرت بعض التناقضات في البيانات المنشورة بين سجلات CVE ووثائق الدعم الفني الخاصة بالشركة فيما يتعلق ببعض إصدارات Crowd وBamboo، الأمر الذي دفع الباحثين إلى التشديد على ضرورة الاعتماد على أحدث التحديثات الرسمية الصادرة عن Atlassian عند التخطيط لعمليات التصحيح.
هجوم “اجتياز المسار” يعود إلى الواجهة
صنفت Atlassian الثغرة ضمن فئة Path Traversal أو “اجتياز المسار”، وهي واحدة من أكثر أنواع الثغرات المرتبطة بتطبيقات الويب شيوعًا وخطورة.
وتعتمد هذه الهجمات على التلاعب بمسارات الملفات داخل طلبات الويب للوصول إلى ملفات لا يفترض أن تكون متاحة للمستخدمين أو للمهاجمين الخارجيين. ومن خلال بناء عناوين URL مصممة بعناية، يستطيع المهاجم تجاوز القيود المفروضة على الوصول إلى الموارد الداخلية وقراءة ملفات حساسة من الخادم.
وفي حالة CVE-2026-21589، لا يتطلب الاستغلال أي صلاحيات أو تفاعلات من المستخدمين، كما يمكن تنفيذ الهجوم عبر الشبكة مباشرة، وهو ما يفسر جانبًا كبيرًا من التقييم المرتفع للثغرة.
ولم تكن هذه المرة الأولى التي تواجه فيها منتجات Atlassian هذا النوع من المخاطر الأمنية؛ ففي عام 2021 ظهرت الثغرة الشهيرة CVE-2021-26086 في Jira Server وJira Data Center، والتي سمحت كذلك للمهاجمين بقراءة ملفات محددة عن بُعد. وقد أدرجتها وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية CISA لاحقًا ضمن قائمة الثغرات المستغلة فعليًا في الهجمات السيبرانية.
إجراءات مؤقتة لحماية المؤسسات قبل التحديث
دعت Atlassian العملاء غير القادرين على تثبيت التحديثات بشكل فوري إلى اتخاذ إجراءات احترازية عاجلة لتقليل مساحة التعرض للهجوم.
ومن أبرز التوصيات التي قدمتها الشركة:
تقييد الوصول الخارجي إلى الخوادم المتصلة بالإنترنت حتى لو كانت محمية بآليات تسجيل الدخول.
إيقاف الأنظمة مؤقتًا إذا كان ذلك ممكنًا لحين تطبيق التصحيحات الأمنية.
تطبيق قواعد منع على جدران حماية تطبيقات الويب WAF أو على الخوادم الوسيطة Reverse Proxy لحظر الطلبات التي تتضمن أنماطًا تشير إلى محاولات اجتياز المسار.
كما وفرت الشركة قواعد خاصة لبعض المنتجات مثل Confluence وJira وBamboo وCrowd من خلال مكون Tomcat RewriteValve، بينما قدمت لمنتج Bitbucket قواعد إضافية داخل ملف urlrewrite.xml.
وأكدت Atlassian أن هذه الإجراءات لا تمثل بديلًا عن التحديث الرسمي، وإنما تعد وسائل تخفيف مؤقتة فقط لحين تثبيت الإصدارات المصححة.
كيف تتحقق المؤسسات من تعرضها لمحاولات الاستغلال؟
أوضحت الشركة أنها لم تعثر حتى الآن على أدلة تؤكد استغلال الثغرة داخل بيئاتها السحابية، كما لم تعلن عن رصد هجمات واسعة النطاق تستهدف النسخ المستضافة ذاتيًا.
ومع ذلك، أكدت Atlassian أنها لا تستطيع الجزم بما إذا كانت خوادم العملاء تعرضت للاستغلال أم لا، مطالبة فرق الأمن السيبراني بمراجعة سجلات الوصول والبحث عن مؤشرات هجوم مرتبطة بأنماط اجتياز المسار.
وتشمل عملية الفحص تحليل طلبات URL بعد فك ترميزها مرة أو مرتين للكشف عن استخدام تسلسلات مثل “..” المرتبطة عادة بمحاولات الوصول إلى ملفات خارج المسارات المسموح بها.
وتزداد أهمية هذه الخطوة في ظل عدم توضيح الشركة لآلية التمييز بين محاولات الاستغلال الفاشلة وتلك التي نجحت فعليًا في استرجاع ملفات من الخادم، ما يفرض على المؤسسات إجراء تحليلات موسعة لسجلاتها الأمنية والتأكد من عدم حدوث عمليات وصول غير مصرح بها خلال الفترات السابقة.
