Atlassian waarschuwt voor een kritieke kwetsbaarheid in het Data Center-platform. Het lek zit in meerdere self‑managed producten: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible en Fisheye. Aanvallers zonder inlog kunnen, als ze het exacte pad en de bestandsnaam kennen, specifieke bestanden in de webroot van de applicatie opvragen. Daardoor kan gevoelige informatie op straat belanden. Atlassian classificeert de kwetsbaarheid als kritisch (CVSS 4.0-score 9,3) en adviseert om direct te patchen. Het advies verscheen op 5 oktober 2026. (confluence.atlassian.com)

Wat maakt dit lek riskant? De bug geeft geen volledige directory‑listing en vereist dus gerichte kennis van bestandsnamen. In de praktijk blijken configuratiebestanden in of onder de map WEB‑INF regelmatig interessante data te bevatten, zoals verbindingsgegevens en andere geheimen. Juist die combinatie maakt misbruik haalbaar voor aanvallers die jouw omgeving al deels kennen of informatie uit andere bronnen hebben. (confluence.atlassian.com)

Wie is geraakt? Alle versies van de genoemde Data Center‑producten tot aan de gefixeerde releases. Atlassian meldt dat de cloudvarianten zijn bijgewerkt en dat er geen aanwijzingen zijn voor misbruik in de cloud. Self‑managed omgevingen blijven dus het doelwit als ze niet snel worden geüpdatet. (confluence.atlassian.com)

Wat moet je nu doen?

• Patch onmiddellijk naar een gefixeerde versie of hoger. Voorbeeld: Jira Software Data Center is verholpen in 9.12.40, 10.3.26 en 11.3.12. Controleer voor jouw product de bijbehorende fixversies en update per direct. (confluence.atlassian.com)
• Lukt patchen niet meteen? Haal de instance tijdelijk van het internet en zet strikte netwerktoegang in. Atlassian beschrijft daarnaast mitigaties via een WAF‑regel (filter op verdachte “..”-patronen) of Tomcat’s RewriteValve. Zie dit alleen als noodmaatregel; patchen blijft noodzakelijk. (confluence.atlassian.com)

Waarom is dit belangrijk? Atlassian‑tools zitten diep in het ontwikkel‑ en operatieproces van veel organisaties. Jira volgt werk, Bitbucket beheert broncode, Bamboo ondersteunt builds en deployments, en Confluence bevat vaak documentatie en runbooks. Een ogenschijnlijk “alleen‑lezen” lek kan zo toch de vertrouwelijkheid aantasten en de opstap zijn naar bredere compromittering, bijvoorbeeld door het uitlezen van config‑ of secretbestanden. (scworld.com)

Kortom: behandel dit als een spoedklus. Check welke Atlassian Data Center‑producten je draait, update naar de door Atlassian genoemde fixversies en beperk extern bereikbare endpoints tot het strikt noodzakelijke. Daarmee verklein je de kans dat aanvallers precies het bestand weten te vinden dat ze nodig hebben. (confluence.atlassian.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.