---
title: "الوكالات الفيدرالية مطالبة بترقيع ثغرة أتلاسيان المستغلة في موعد أقصاه 18 أكتوبر.. والمنتجات السحابية لا تتطلب أي إجراء"
description: "على الوكالات الفيدرالية ترقيع الثغرة CVE-2026-21589 في موعد أقصاه 18 أكتوبر، غير أن هذه الثغرة تكمن في منتجات أتلاسيان المستضافة ذاتيًا وحدها، وهي الفئة التي قضت الشركة عقدًا كاملًا تدفعها نحو السحابة. أما أتلاسيان التي أعاد السوق تقييمها عند 52 مليار دولار فهي الفئة الأخرى."
publisher: "The Inference"
section: "Safety"
published: 2026-10-17T17:05:38.296Z
modified: 2026-10-17T17:05:38.296Z
canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/ar
language: ar
keywords: "Atlassian, Cybersecurity, Vulnerabilities, Cloud Computing, CISA"
---

# الوكالات الفيدرالية مطالبة بترقيع ثغرة أتلاسيان المستغلة في موعد أقصاه 18 أكتوبر.. والمنتجات السحابية لا تتطلب أي إجراء

> على الوكالات الفيدرالية ترقيع الثغرة CVE-2026-21589 في موعد أقصاه 18 أكتوبر، غير أن هذه الثغرة تكمن في منتجات أتلاسيان المستضافة ذاتيًا وحدها، وهي الفئة التي قضت الشركة عقدًا كاملًا تدفعها نحو السحابة. أما أتلاسيان التي أعاد السوق تقييمها عند 52 مليار دولار فهي الفئة الأخرى.

أدرجت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (سيسا) الثغرة CVE-2026-21589 في 15 أكتوبر 2026 على [قائمة الثغرات المستغَلة المعروفة](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589) لديها، وهي قائمة تُلزم الوكالات الفيدرالية بمعالجة كل ما يُدرج عليها في موعد محدد [1]. الموعد المحدد هذه المرة هو 18 أكتوبر، أي غدًا [1].

## ثغرة قراءة ملفات بدرجة خطورة 9.3 من 10.. وترقيعها مستحق غدًا

أصدرت [أتلاسيان](https://theinference.org/markets/companies/atlassian)، الشركة المطوِّرة لمنتجات Jira وConfluence وBitbucket، [نشرتها الأمنية في 5 أكتوبر](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html): ثغرة مصنفة حرجة بدرجة 9.3 من 10 على مقياس شدة الخطورة CVSS، تتيح لمهاجم، دون مصادقة، قراءة ملفات داخل الدليل الجذري لخادم الويب عند معرفة مسارها الدقيق [2]. وتشمل الإصابة كل الإصدارات الأقدم من الإصدارات المصحَّحة لثمانية منتجات من فئة «مركز البيانات» (Data Center) ذاتية الاستضافة، بينها Bitbucket وConfluence وكلا منتجي Jira وBamboo وCrowd وCrucible وFisheye [2].

## كيف حوّل الباحثون ثغرة قراءة الملفات إلى وصول بصلاحيات المسؤول

واتش تاور لابز، وهي شركة أبحاث متخصصة في الأمن الهجومي، [نشرت تحليلها في 6 أكتوبر](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) [3]. تقول إن مكتبة مشتركة في شيفرة موارد الويب لدى أتلاسيان تحوّل تسلسلات النقطتين المزدوجتين (:) إلى فواصل بين الأدلة، ما يمكّن السلسلة النصية "..::" من تجاوز فحوصات المسار وقراءة ملفات داخل خادم التطبيقات [3]. وفي نسخة منشورة من Jira مرتبطة بمنصة Crowd، مركز إدارة الهوية وتسجيل الدخول الموحد لدى أتلاسيان، قرأ الباحثون ملف crowd.properties واستخرجوا منه كلمة مرور التطبيق غير المشفرة ثم أنشأوا مستخدمًا في مجموعة jira-administrators [3].

## خوادم مكشوفة بعدد يتراوح بين ستة وسبعة أرقام.. وأولى محاولات الاستغلال بعد ساعتين

قالت واتش تاور لابز إن عدد الأنظمة المكشوفة «يقع في نطاق يتراوح بين ستة وسبعة أرقام»، بعد أن كشف بحث سريع عن أقل قليلًا من 700 ألف نسخة مثبتة من Confluence وحدها [3]. وقالت بريفيديان (Previdian)، وهي شركة متخصصة في الرصد الأمني، إن [أنظمة الفخ لديها (Honeypots) رصدت 15 محاولة استغلال صادرة عن ثلاثة عناوين بروتوكول الإنترنت في اليابان والولايات المتحدة](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/)، بدأت تلك المحاولات بعد ساعتين من الإفصاح العلني عن إثبات المفهوم [4][5]. أما خلاصة واتش تاور نفسها فجاءت أكثر صراحة: أتلاسيان «تعاقبنا نحن الباقين لأننا نشغّل أنظمتها محليًا على خوادمنا» [3].

## الشريحة المستغَلة هي ذاتها التي نسيَتها إعادة التقييم

تتضمن النشرة الأمنية لأتلاسيان الجملة التي يحلو للمتفائلين الاستشهاد بها: منتجات السحابة المتأثرة «جرى ترقيعها، ولم يكشف تحقيقنا أي دليل على وقوع استغلال. ولا يُطلب من عملاء السحابة أي إجراء» [2]. وفي الشهر نفسه، فتح [Bitbucket Cloud أبوابه أمام المساعدين الذكيين عبر بروتوكول OAuth من خلال خادم MCP لدى أتلاسيان](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp)، وهو موصل بروتوكول سياق النموذج (Model Context Protocol)، بما يتيح لوكلاء الذكاء الاصطناعي إدارة طلبات الدمج (Pull Requests) وعمليات الإيداع البرمجي (Commits) في حدود الصلاحيات القائمة [6].

هذه السحابة الموجهة لوكلاء الذكاء الاصطناعي هي أتلاسيان التي يملكها السوق فعلًا: [قيمة سوقية تقارب 52 مليار دولار، أي نحو ثمانية أضعاف إيرادات آخر 12 شهرًا](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/)، بعد موجة صعود للسهم تجاوزت 200% خلال 120 يومًا [7].

*Chart: **الإيرادات تستعيد تسارعها بنمو سنوي بلغ 27.6% في ربع يونيو** رسم بياني خطي للإيرادات الفصلية لأتلاسيان، ترتفع من 1.19 مليار دولار في الربع الأول 2024 إلى 1.77 مليار دولار في الربع الثاني 2026، مع تعليق على الربع الأخير بوصفه أول هامش ربح تشغيلي موجب منذ الربع الأول 2024.*

*الإيرادات الفصلية بمليارات الدولارات وفق إفصاحات أتلاسيان لدى هيئة الأوراق المالية والبورصات الأمريكية (SEC)؛ التسميات تتبع أرباع السنة الميلادية، ومن ثم فإن الربع الثاني 2026 هو الربع الرابع من السنة المالية، المنتهي في يونيو 2026. [8]*

## نمو 27.6% وأول ربح تشغيلي منذ مطلع 2024

نتائج ربع يونيو التي تقفت خلف إعادة التقييم وقائع موثّقة: [إيرادات بلغت 1.766 مليار دولار بنمو 27.6%](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372)، وأول هامش ربح تشغيلي موجب وفق مبادئ المحاسبة المقبولة عمومًا (GAAP) منذ ربع مارس 2024 [8]. ونمت إيرادات السحابة 31% إلى 1.21 مليار دولار [7]. أما الثغرة فمكانها آخر: عمليات التثبيت المحلية على الخوادم لدى المؤسسات الكبرى والوكالات، وهي الشريحة التي أمضت أتلاسيان عقدًا كاملًا في نقلها إلى الاشتراكات في إطار [دعوتها «الصعود إلى سحابة أتلاسيان»](https://investors.atlassian.com/) [9].

*Chart: **هامش 11.9% في ربع يونيو هو أول هامش موجب منذ الربع الأول 2024** رسم بياني خطي لهامش الربح التشغيلي لأتلاسيان وفق مبادئ المحاسبة المقبولة عمومًا بحسب الأرباع، سالب من الربع الثاني 2024 حتى الربع الأول 2026، ثم يقفز إلى 11.9% موجب في الربع الثاني 2026.*

*هامش الربح التشغيلي وفق مبادئ المحاسبة المقبولة عمومًا كنسبة من الإيرادات بحسب أرباع السنة الميلادية، من إفصاحات أتلاسيان لدى هيئة الأوراق المالية والبورصات الأمريكية (SEC)؛ التسميات تتبع أرباع السنة الميلادية، ومن ثم فإن الربع الثاني 2026 هو الربع الرابع من السنة المالية، المنتهي في يونيو 2026. [8]*

## الترقيعات متاحة وحجة المتفائلين مدعومة بالوقائع

صدرت نسخ مصحّحة تعالج الثغرة لجميع المنتجات الثمانية، وتشير واتش تاور لابز نفسها إلى أن القائمة البيضاء لعناوين بروتوكول الإنترنت في Crowd تُضعف أخطر سلسلة استغلال [2][3]. وتعهد الرئيس التنفيذي مايك كانون بروكس بشراء أسهم تصل قيمتها إلى 250 مليون دولار، فيما رفع [بنك أوف أمريكا](https://theinference.org/markets/companies/bank-of-america) توصيته على السهم إلى «الشراء» بسعر مستهدف 175 دولارًا، واصفًا أتلاسيان بأنها «مستفيدة من الذكاء الاصطناعي لا ضحية له» [7]. ولا توجد حتى الآن بيانات معلنة تقيس انسحاب الوكالات أو المؤسسات من مركز البيانات (Data Center) بسبب هذه الثغرة. وحتى تظهر بيانات من هذا القبيل، تبقى هذه الثغرة تكلفة ترقيع وحجة تُرفع في موسم تجديد العقود، لا بندًا من بنود الإيرادات.

## الخامس من نوفمبر يجيب عن سؤال مختلف

أغلق سهم أتلاسيان (TEAM) تعاملات 16 أكتوبر عند 207.82 دولارًا، بتراجع 4.3%، وهي حركة لا يربطها هذا التقرير بالثغرة [9]. وتصدر نتائج الربع الأول من السنة المالية 2027 في 5 نوفمبر 2026، وسط توجيهات الشركة بنمو الإيرادات السنوية المتكررة من الاشتراكات (ARR) بنسبة 18% خلال السنة، مقابل نمو السحابة 31% الذي قاد إعادة التقييم [7]. أمام الوكالات الفيدرالية مهلة حتى الغد؛ أما سؤال السوق، الذي سيجاب عنه في 5 نوفمبر، فهو: أيّ من معدلي النمو يثبت أنه المعدل الجاري؟

## Takeaway

تقتصر مهلة 18 أكتوبر التي حددتها وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (سيسا) على فئة أتلاسيان المستضافة ذاتيًا؛ أما الفئة السحابية التي تقف خلف إعادة التقييم عند 52 مليار دولار فلا تحتاج إلى أي إجراء، ويأتي يوم 5 نوفمبر ليختبر مدى صمود سردية النمو القائمة على الذكاء الاصطناعي.

## Sources

1. [CISA, Known Exploited Vulnerabilities Catalog entry for CVE-2026-21589, added 15 October 2026](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589)
2. [Atlassian Security Advisory, CVE-2026-21589 Arbitrary File Access Vulnerability impacts Multiple Products, 5 October 2026](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html)
3. [watchTowr Labs, You Won't Hear About These, Even In Myths (Atlassian Jira, Confluence and more pre-auth arbitrary file read, CVE-2026-21589), 6 October 2026](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/)
4. [SecurityAffairs, U.S. CISA adds Atlassian flaw to its Known Exploited Vulnerabilities catalog, 16 October 2026](https://securityaffairs.com/201086/hacking/u-s-cisa-adds-atlassian-flaw-to-its-known-exploited-vulnerabilities-catalog.html)
5. [BleepingComputer, Hackers exploit critical Atlassian flaw after public PoC release, 7 October 2026](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/)
6. [Atlassian blog, Connect Bitbucket Cloud to your AI tools with Atlassian MCP, October 2026](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp)
7. [Ainvest, The AI Narrative at Atlassian Has Flipped. Whether It Holds Depends on What the AI Actually Earns, 17 October 2026](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/)
8. [Atlassian, quarterly figures from its SEC filings, retrieved 17 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372)
9. [Atlassian Investor Relations, stock quote and cloud migration pages, retrieved 17 October 2026](https://investors.atlassian.com/)


---

الوكالات الفيدرالية مطالبة بترقيع ثغرة أتلاسيان المستغلة في موعد أقصاه 18 أكتوبر.. والمنتجات السحابية لا تتطلب أي إجراء — The Inference. Canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/ar