الوكالات الفيدرالية مطالبة بترقيع ثغرة أتلاسيان المستغلة في موعد أقصاه 18 أكتوبر.. والمنتجات السحابية لا تتطلب أي إجراء
على الوكالات الفيدرالية ترقيع الثغرة CVE-2026-21589 في موعد أقصاه 18 أكتوبر، غير أن هذه الثغرة تكمن في منتجات أتلاسيان المستضافة ذاتيًا وحدها، وهي الفئة التي قضت الشركة عقدًا كاملًا تدفعها نحو السحابة. أما أتلاسيان التي أعاد السوق تقييمها عند 52 مليار دولار فهي الفئة الأخرى.
Vincent Jiang · 3 min read
أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (سيسا) الثغرة CVE-2026-21589 في 15 أكتوبر 2026 على قائمة الثغرات المستغَلة المعروفة لديها، وهي قائمة تُلزم الوكالات الفيدرالية بمعالجة كل ما يُدرج عليها في موعد محدد 1. الموعد المحدد هذه المرة هو 18 أكتوبر، أي غدًا 1.
ثغرة قراءة ملفات بدرجة خطورة 9.3 من 10.. وترقيعها مستحق غدًا
أصدرت أتلاسيان−5.31% — أتلاسيان, down 5.31 percent today، الشركة المطوِّرة لمنتجات Jira وConfluence وBitbucket، نشرتها الأمنية في 5 أكتوبر: ثغرة مصنفة حرجة بدرجة 9.3 من 10 على مقياس شدة الخطورة CVSS، تتيح لمهاجم، دون مصادقة، قراءة ملفات داخل الدليل الجذري لخادم الويب عند معرفة مسارها الدقيق 2. وتشمل الإصابة كل الإصدارات الأقدم من الإصدارات المصحَّحة لثمانية منتجات من فئة «مركز البيانات» (Data Center) ذاتية الاستضافة، بينها Bitbucket وConfluence وكلا منتجي Jira وBamboo وCrowd وCrucible وFisheye 2.
كيف حوّل الباحثون ثغرة قراءة الملفات إلى وصول بصلاحيات المسؤول
واتش تاور لابز، وهي شركة أبحاث متخصصة في الأمن الهجومي، نشرت تحليلها في 6 أكتوبر 3. تقول إن مكتبة مشتركة في شيفرة موارد الويب لدى أتلاسيان تحوّل تسلسلات النقطتين المزدوجتين (:) إلى فواصل بين الأدلة، ما يمكّن السلسلة النصية "..::" من تجاوز فحوصات المسار وقراءة ملفات داخل خادم التطبيقات 3. وفي نسخة منشورة من Jira مرتبطة بمنصة Crowd، مركز إدارة الهوية وتسجيل الدخول الموحد لدى أتلاسيان، قرأ الباحثون ملف crowd.properties واستخرجوا منه كلمة مرور التطبيق غير المشفرة ثم أنشأوا مستخدمًا في مجموعة jira-administrators 3.
خوادم مكشوفة بعدد يتراوح بين ستة وسبعة أرقام.. وأولى محاولات الاستغلال بعد ساعتين
قالت واتش تاور لابز إن عدد الأنظمة المكشوفة «يقع في نطاق يتراوح بين ستة وسبعة أرقام»، بعد أن كشف بحث سريع عن أقل قليلًا من 700 ألف نسخة مثبتة من Confluence وحدها 3. وقالت بريفيديان (Previdian)، وهي شركة متخصصة في الرصد الأمني، إن أنظمة الفخ لديها (Honeypots) رصدت 15 محاولة استغلال صادرة عن ثلاثة عناوين بروتوكول الإنترنت في اليابان والولايات المتحدة، بدأت تلك المحاولات بعد ساعتين من الإفصاح العلني عن إثبات المفهوم 45. أما خلاصة واتش تاور نفسها فجاءت أكثر صراحة: أتلاسيان «تعاقبنا نحن الباقين لأننا نشغّل أنظمتها محليًا على خوادمنا» 3.
الشريحة المستغَلة هي ذاتها التي نسيَتها إعادة التقييم
تتضمن النشرة الأمنية لأتلاسيان الجملة التي يحلو للمتفائلين الاستشهاد بها: منتجات السحابة المتأثرة «جرى ترقيعها، ولم يكشف تحقيقنا أي دليل على وقوع استغلال. ولا يُطلب من عملاء السحابة أي إجراء» 2. وفي الشهر نفسه، فتح Bitbucket Cloud أبوابه أمام المساعدين الذكيين عبر بروتوكول OAuth من خلال خادم MCP لدى أتلاسيان، وهو موصل بروتوكول سياق النموذج (Model Context Protocol)، بما يتيح لوكلاء الذكاء الاصطناعي إدارة طلبات الدمج (Pull Requests) وعمليات الإيداع البرمجي (Commits) في حدود الصلاحيات القائمة 6.
هذه السحابة الموجهة لوكلاء الذكاء الاصطناعي هي أتلاسيان التي يملكها السوق فعلًا: قيمة سوقية تقارب 52 مليار دولار، أي نحو ثمانية أضعاف إيرادات آخر 12 شهرًا، بعد موجة صعود للسهم تجاوزت 200% خلال 120 يومًا 7.
الإيرادات تستعيد تسارعها بنمو سنوي بلغ 27.6% في ربع يونيو
Data
| الإيرادات | |
|---|---|
| الربع الأول 2024 | $1.19B |
| الربع الثاني 2024 | $1.13B |
| الربع الثالث 2024 | $1.19B |
| الربع الرابع 2024 | $1.29B |
| الربع الأول 2025 | $1.36B |
| الربع الثاني 2025 | $1.38B |
| الربع الثالث 2025 | $1.43B |
| الربع الرابع 2025 | $1.59B |
| الربع الأول 2026 | $1.79B |
| الربع الثاني 2026 | $1.77B |
نمو 27.6% وأول ربح تشغيلي منذ مطلع 2024
نتائج ربع يونيو التي تقفت خلف إعادة التقييم وقائع موثّقة: إيرادات بلغت 1.766 مليار دولار بنمو 27.6%، وأول هامش ربح تشغيلي موجب وفق مبادئ المحاسبة المقبولة عمومًا (GAAP) منذ ربع مارس 2024 8. ونمت إيرادات السحابة 31% إلى 1.21 مليار دولار 7. أما الثغرة فمكانها آخر: عمليات التثبيت المحلية على الخوادم لدى المؤسسات الكبرى والوكالات، وهي الشريحة التي أمضت أتلاسيان عقدًا كاملًا في نقلها إلى الاشتراكات في إطار دعوتها «الصعود إلى سحابة أتلاسيان» 9.
هامش 11.9% في ربع يونيو هو أول هامش موجب منذ الربع الأول 2024
Data
| هامش الربح التشغيلي | |
|---|---|
| الربع الثالث 2023 | -1.9% |
| الربع الرابع 2023 | -4.6% |
| الربع الأول 2024 | 1.5% |
| الربع الثاني 2024 | -5.9% |
| الربع الثالث 2024 | -2.7% |
| الربع الرابع 2024 | -4.5% |
| الربع الأول 2025 | -0.9% |
| الربع الثاني 2025 | -2.1% |
| الربع الثالث 2025 | -6.7% |
| الربع الرابع 2025 | -3% |
| الربع الأول 2026 | -3.1% |
| الربع الثاني 2026 | 11.9% |
الترقيعات متاحة وحجة المتفائلين مدعومة بالوقائع
صدرت نسخ مصحّحة تعالج الثغرة لجميع المنتجات الثمانية، وتشير واتش تاور لابز نفسها إلى أن القائمة البيضاء لعناوين بروتوكول الإنترنت في Crowd تُضعف أخطر سلسلة استغلال 23. وتعهد الرئيس التنفيذي مايك كانون بروكس بشراء أسهم تصل قيمتها إلى 250 مليون دولار، فيما رفع بنك أوف أمريكا−0.91% — بنك أوف أمريكا, down 0.91 percent today توصيته على السهم إلى «الشراء» بسعر مستهدف 175 دولارًا، واصفًا أتلاسيان بأنها «مستفيدة من الذكاء الاصطناعي لا ضحية له» 7. ولا توجد حتى الآن بيانات معلنة تقيس انسحاب الوكالات أو المؤسسات من مركز البيانات (Data Center) بسبب هذه الثغرة. وحتى تظهر بيانات من هذا القبيل، تبقى هذه الثغرة تكلفة ترقيع وحجة تُرفع في موسم تجديد العقود، لا بندًا من بنود الإيرادات.
الخامس من نوفمبر يجيب عن سؤال مختلف
أغلق سهم أتلاسيان (TEAM) تعاملات 16 أكتوبر عند 207.82 دولارًا، بتراجع 4.3%، وهي حركة لا يربطها هذا التقرير بالثغرة 9. وتصدر نتائج الربع الأول من السنة المالية 2027 في 5 نوفمبر 2026، وسط توجيهات الشركة بنمو الإيرادات السنوية المتكررة من الاشتراكات (ARR) بنسبة 18% خلال السنة، مقابل نمو السحابة 31% الذي قاد إعادة التقييم 7. أمام الوكالات الفيدرالية مهلة حتى الغد؛ أما سؤال السوق، الذي سيجاب عنه في 5 نوفمبر، فهو: أيّ من معدلي النمو يثبت أنه المعدل الجاري؟
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
