สรุปสั้น

บริษัท Atlassian เปิดเผยช่องโหว่ระดับวิกฤต CVE-2026-21589 เมื่อวันที่ 5 ตุลาคม 2569 ให้คะแนน CVSS 4.0 ที่ 9.3 ช่องโหว่กระทบผลิตภัณฑ์รุ่น Data Center ที่ลูกค้าติดตั้งและดูแลเอง 8 ตัว ได้แก่ Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible และ Fisheye ผู้โจมตีที่ไม่ต้องล็อกอินสามารถอ่านไฟล์ที่อยู่ในโฟลเดอร์รากของเว็บแอปพลิเคชัน (web application root directory) ได้ โดยมีเงื่อนไขว่าต้องรู้ชื่อและพาธของไฟล์อยู่ก่อนแล้ว เพราะไม่สามารถเรียกดูรายชื่อไฟล์ในโฟลเดอร์ได้ Atlassian ระบุว่าในบางการตั้งค่า โฟลเดอร์นี้อาจมีไฟล์อ่อนไหวอยู่ ซึ่งทำให้ความเสี่ยงสูงขึ้น ใน CVE record ช่องโหว่ถูกจัดเป็น path traversal

Atlassian ออกเวอร์ชันแก้ไขของแต่ละผลิตภัณฑ์แล้ว และระบุว่าช่องโหว่กระทบทุกเวอร์ชันก่อนหน้า รวมถึงเวอร์ชันที่หมดอายุการสนับสนุนแล้ว ลูกค้าที่อัปเดตทั้งหมดในครั้งเดียวไม่ได้ควรนำเครื่องออฟไลน์หากทำได้ และเครื่องที่เข้าถึงได้จากอินเทอร์เน็ต แม้จะต้องล็อกอินก็ตาม ควรถูกจำกัดการเข้าถึงจากภายนอกจนกว่าจะอัปเดตหรือวางกฎบล็อกชั่วคราว ผลิตภัณฑ์คลาวด์ที่ได้รับผลกระทบแพตช์แล้ว และการสอบสวนยังไม่พบการโจมตีจริง แต่ Atlassian ระบุชัดว่ายืนยันไม่ได้ว่าเครื่องที่ลูกค้าติดตั้งเองถูกโจมตีแล้วหรือไม่

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 6 ตุลาคม 2569 ว่า Atlassian เผยแพร่ประกาศด้านความปลอดภัยสำหรับช่องโหว่ CVE-2026-21589 พร้อมตารางเวอร์ชันที่แก้ไขแล้ว ณ วันที่ 6 ตุลาคม ดังนี้

ผลิตภัณฑ์เวอร์ชันที่แก้ไขแล้ว
Bitbucket Data Center9.4.26, 10.2.8, 10.5.1
Confluence Data Center9.2.26, 10.2.19
Jira Software Data Center9.12.40, 10.3.26, 11.3.12
Jira Service Management Data Center5.12.40, 10.3.26, 11.3.12
Bamboo Data Center10.2.24, 12.1.12
Crowd Data Center6.3.7, 7.0.3, 7.1.7, 7.2.4
Crucible4.9.15
Fisheye4.9.15

The Hacker News ตรวจพบความไม่สอดคล้องของข้อมูลหลายจุด สำหรับ Crowd สาย 7.1 ช่อง fix version ในทิกเก็ตระบุ 7.1.7 แต่ตารางในทิกเก็ตเดียวกันกลับระบุ 7.1.6 ซึ่งทิกเก็ตเองก็ระบุว่าเป็นเวอร์ชันที่ได้รับผลกระทบ ขณะที่ CVE record ที่ Atlassian ยื่นระบุ Crowd 7.1.1 ซึ่งออกเมื่อ 27 พฤศจิกายน 2568 ก่อนการเปิดเผยช่องโหว่กว่า 10 เดือน ส่วน Bamboo ช่องหนึ่งระบุ 10.2.4 แต่คำอธิบายในเรคอร์ดเดียวกันระบุ 10.2.24 ผู้ดูแลระบบจึงควรยึดประกาศของ Atlassian และตรวจเวอร์ชันให้ตรงกับตารางข้างต้น

CVE record ยังระบุผลิตภัณฑ์รุ่น Server ซึ่งเป็นสายติดตั้งเองรุ่นเก่าที่ประกาศไม่ได้พูดถึง โดยระบุว่า Bamboo Server, Bitbucket Server, Confluence Server และ Crowd Server ได้รับผลกระทบทุกเวอร์ชันและไม่มีเวอร์ชันแก้ไข ส่วน Jira Software Server ระบุว่าเวอร์ชันตั้งแต่ 9.12.40 ไม่ได้รับผลกระทบ และ Crucible/Fisheye Server ตั้งแต่ 4.9.15 แต่ไม่ได้บอกว่าไลเซนส์ Server ใช้เวอร์ชันเหล่านั้นได้หรือไม่ ทั้งนี้ Crowd ไม่มีรุ่น Server ใหม่ตั้งแต่เวอร์ชัน 5.2 เมื่อกันยายน 2566 เวอร์ชันแก้ไขของ Crowd จึงไม่มีรุ่นใดเป็น Server

รายละเอียดช่องโหว่

path traversal คือการส่งคำขอที่มีพาธไฟล์ประดิษฐ์ขึ้นเป็นพิเศษ เช่น ใส่ .. เพื่อถอยออกจากโฟลเดอร์ที่ระบบตั้งใจให้เข้าถึง และไปเรียกไฟล์ที่ไม่ควรเข้าถึงได้ ในกรณีนี้ ขอบเขตที่อ่านได้จำกัดอยู่ที่โฟลเดอร์รากของเว็บแอป และผู้โจมตีต้องรู้ชื่อไฟล์ล่วงหน้า แต่สำหรับซอฟต์แวร์เชิงพาณิชย์ที่โครงสร้างไฟล์เหมือนกันทุกการติดตั้ง ชื่อและพาธของไฟล์สำคัญจำนวนมากหาได้จากเอกสารหรือการติดตั้งทดสอบเอง เงื่อนไขนี้จึงไม่ได้เป็นอุปสรรคมากนักในทางปฏิบัติ

คะแนน 9.3 เป็นการประเมินของ Atlassian เอง โดยให้เข้าถึงได้ผ่านเครือข่าย ไม่ต้องมีสิทธิ์ และไม่ต้องให้ผู้ใช้ทำอะไร ผลต่อความลับของระบบที่มีช่องโหว่อยู่ในระดับสูง ไม่กระทบความถูกต้องและความพร้อมใช้งาน แต่ให้ผลต่อระบบอื่นในระดับสูง ซึ่งสื่อว่าไฟล์ที่อ่านได้อาจมีข้อมูลที่ใช้ต่อยอดไปยังระบบอื่น อย่างไรก็ตาม ประกาศไม่ได้ระบุว่าไฟล์อ่อนไหวคืออะไร อยู่ในการตั้งค่าแบบใด และไม่ได้อธิบายเหตุผลของคะแนนผลกระทบต่อระบบอื่น

มาตรการชั่วคราวที่ Atlassian ให้ไว้มี 3 แบบ ทุกแบบบล็อกคำขอที่ URL มี .. อยู่ติดกับ /, \ หรือ :: รวมถึงรูปแบบที่เข้ารหัส URL แล้ว ได้แก่ กฎบน WAF หรือ reverse proxy ซึ่งใช้ได้กับทั้ง 8 ผลิตภัณฑ์ กฎ Tomcat RewriteValve สำหรับ Confluence, Jira Software, Jira Service Management, Bamboo และ Crowd ซึ่งต้องติดตั้งทุกโหนดและรีสตาร์ต และกฎใน urlrewrite.xml สำหรับ Bitbucket ซึ่งต้องใส่ทุกโหนด mirror และ mirror farm แล้วรีสตาร์ต ส่วน Crucible และ Fisheye ใช้ได้เฉพาะแบบแรก Atlassian ย้ำว่ามาตรการเหล่านี้ “มีข้อจำกัด และไม่ใช่สิ่งทดแทนการแพตช์”

ผลกระทบ

Jira, Confluence และ Bitbucket เป็นระบบที่เก็บข้อมูลงานภายในองค์กรจำนวนมาก ทั้งเอกสารโครงการ ซอร์สโค้ด และข้อมูลลูกค้า องค์กรที่เลือกรุ่น Data Center มักเป็นองค์กรขนาดใหญ่หรือหน่วยงานที่ต้องเก็บข้อมูลไว้ในโครงสร้างพื้นฐานของตนเอง และหลายแห่งเปิดระบบเหล่านี้สู่อินเทอร์เน็ตให้พนักงานหรือคู่ค้าเข้าใช้งาน แม้ช่องโหว่นี้จะไม่ใช่ RCE แต่การอ่านไฟล์ได้โดยไม่ต้องล็อกอินอาจทำให้ได้ไฟล์ตั้งค่า ข้อมูลรับรอง หรือข้อมูลภายในที่ใช้ต่อยอดการโจมตีได้

ประวัติชี้ว่าช่องโหว่ลักษณะนี้ใน Atlassian ถูกนำไปใช้จริงมาแล้ว CVE-2021-26086 ซึ่งเป็น path traversal ใน Jira Server และ Data Center ที่อ่านไฟล์เฉพาะได้จากระยะไกล ถูกหน่วยงาน CISA ของสหรัฐฯ เพิ่มเข้าบัญชี Known Exploited Vulnerabilities เมื่อ 12 พฤศจิกายน 2567 ขณะเดียวกัน กลุ่มที่เสี่ยงเป็นพิเศษคือผู้ที่ยังใช้รุ่น Server ซึ่งหมดอายุการสนับสนุนแล้ว เพราะ CVE record ระบุว่าได้รับผลกระทบทุกเวอร์ชันโดยไม่มีแพตช์ ทางเลือกที่เหลือคือมาตรการชั่วคราวหรือการย้ายไปรุ่นที่ยังได้รับการสนับสนุน

อัปเดต 7 ตุลาคม 2569: เว็บไซต์ SecurityWeek รายงานความเห็นของบริษัท watchTowr ซึ่งยืนยันตรงกับ Atlassian ว่ายังไม่พบหลักฐานการโจมตีจริง แต่ชี้ว่ากลุ่มแรนซัมแวร์และกลุ่ม APT เคยใช้ช่องโหว่ประเภทนี้มาแล้ว และปัจจุบันมีช่องโหว่ของ Atlassian อยู่ในบัญชี KEV ของ CISA ถึง 8 รายการ นาย Yordan Ganchev ผู้เชี่ยวชาญข่าวกรองภัยคุกคามของ watchTowr เตือนว่าองค์กรที่เปิด SSO ผ่าน Crowd ซึ่งเป็นแนวทางที่ Atlassian แนะนำ ควรระวังเป็นพิเศษ เพราะข้อมูลยืนยันตัวตนถูกเก็บเป็น plaintext ในพาธที่คาดเดาได้และเป็นที่รู้จัก จึงดึงออกมาได้ง่าย ผู้โจมตีที่ได้ข้อมูลนี้สามารถสร้างบัญชีผู้ดูแลระบบของตัวเองได้หาก endpoint ของ Crowd เข้าถึงได้จากภายนอก ข้อนี้อธิบายได้ว่าทำไมช่องโหว่ “อ่านไฟล์” จึงได้คะแนนผลกระทบต่อระบบอื่นสูง

คำแนะนำ

  • อัปเดตผลิตภัณฑ์ Data Center ทั้ง 8 ตัวเป็นเวอร์ชันในตารางหรือใหม่กว่า โดยเลือกสาย LTS ตามคำแนะนำของ Atlassian และยึดประกาศของ Atlassian เมื่อเลขเวอร์ชันในแหล่งต่าง ๆ ไม่ตรงกัน
  • เครื่องที่ยังอัปเดตไม่ได้และเข้าถึงได้จากอินเทอร์เน็ต ให้จำกัดการเข้าถึงจากภายนอกทันที หรือวางกฎบล็อกบน WAF/reverse proxy และกฎ RewriteValve หรือ urlrewrite.xml ตามผลิตภัณฑ์
  • ผู้ที่ยังใช้รุ่น Server ควรวางแผนย้ายไปรุ่นที่ยังได้รับการสนับสนุน และระหว่างนี้ไม่ควรเปิดระบบสู่อินเทอร์เน็ต
  • ค้นล็อกการเข้าถึงย้อนหลังตามวิธีของ Atlassian โดยถอดรหัส URL ของแต่ละคำขอสูงสุด 2 รอบ แล้วหา .. ที่อยู่ติดกับ /, \ หรือ :: หรือใช้รูปแบบบล็อกของ Atlassian กรองล็อกดิบ
  • หากพบคำขอลักษณะนี้ที่ได้รับการตอบกลับสำเร็จ ให้ตรวจว่าไฟล์ในโฟลเดอร์เว็บแอปมีข้อมูลรับรองหรือคีย์หรือไม่ และเปลี่ยนข้อมูลรับรองที่อาจรั่ว
  • องค์กรที่ใช้ SSO ผ่าน Crowd ให้จำกัดการเข้าถึง endpoint ของ Crowd จากภายนอก และหากมีสัญญาณว่าถูกโจมตี ให้เปลี่ยนข้อมูลยืนยันตัวตนของแอปพลิเคชันที่เชื่อมกับ Crowd และตรวจหาบัญชีผู้ดูแลระบบที่ถูกสร้างใหม่

แหล่งอ้างอิง