【漏洞预警】Atlassian Data Center 爆严重漏洞，未授权可读 Web 根下指定文件（CVE-2026-21589）

发布日期： 2026 年 11 月 5 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-21589
涉及镜像： atlassian/bitbucket — 轩辕镜像 · Docker Hub · atlassian/confluence — 轩辕镜像 · Docker Hub · atlassian/jira-software — 轩辕镜像 · Docker Hub
CVSS： 9.3（Critical，CVSS 4.0，Atlassian）
披露时间： Atlassian 公告 2026 年 10 月 5 日；本档漏报补报
相关公告： Atlassian 公告

---

一、漏洞概述

未授权攻击者在已知精确文件名与路径时，可以读取 Web 应用根目录下的特定文件。不能列目录。部分配置下可能触及敏感文件。Cloud 已打补丁；本条针对自管 Data Center（含官方 Docker 部署）。

受影响产品线：Bitbucket、Confluence、Jira Software、Jira Service Management、Bamboo、Crowd Data Center，以及 Crucible / Fisheye 全部受影响版本线。

---

二、漏洞状态

统计截止： 2026 年 11 月 5 日（UTC+8）

---

三、影响范围

上述产品的自管 Data Center，对不可信网络可达时风险最高。公网暴露实例应优先升级。

---

四、修复建议

按产品线固定官方修复标签。示例：

bash
docker pull docker.xuanyuan.run/atlassian/bitbucket:10.5.1

bash
docker pull docker.xuanyuan.run/atlassian/confluence:10.2.19

bash
docker pull docker.xuanyuan.run/atlassian/jira-software:11.3.12

其他产品请按上表从 Hub 拉取对应标签（如 atlassian/jira-servicemanagement:10.3.26、atlassian/bamboo:10.2.24、atlassian/crowd:7.2.4）。

Docker Hub： bitbucket · confluence · jira-software

轩辕镜像： bitbucket · confluence · jira-software

---

五、临时缓解措施

在升级之前：把实例从公网收回；限制谁能直达 Web 端口。已经怀疑敏感文件被读的，轮换相关密钥与会话。这不能代替官方固定修复版本。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Atlassian 的版本修复。请按产品固定上表标签。基于更旧标签二次构建的，要改基础标签后重新构建。

配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Atlassian：CVE-2026-21589 公告
• NVD：CVE-2026-21589
• 轩辕站内镜像页：bitbucket · confluence · jira-software

阅读原文

• 轩辕镜像官方博客

---

轩辕镜像安全团队
2026 年 11 月 5 日