Les agences fédérales américaines doivent corriger la faille Atlassian, déjà exploitée, d'ici au 18 octobre ; les produits cloud, eux, ne demandent aucune action

Le 15 octobre 2026, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la CVE-2026-21589 à son catalogue des vulnérabilités exploitées connues (KEV)↗, cette liste qui astreint les agences fédérales à corriger avant une date fixée toute faille qui y figure ¹. En l'occurrence, l'échéance tombe le 18 octobre : demain ¹.

Une lecture de fichiers notée 9,3, à corriger demain

Atlassian▼−5.31% — Atlassian, down 5.31 percent today, l'éditeur de Jira, Confluence et Bitbucket, a publié son avis de sécurité le 5 octobre↗ : une faille jugée critique — 9,3 sur l'échelle de sévérité CVSS, qui va de 0 à 10 — qui permet à un attaquant non authentifié de lire des fichiers dans la racine web d'un serveur dès lors que leur chemin exact est connu ². Toutes les versions antérieures aux éditions corrigées de huit produits « Data Center » auto-hébergés sont touchées, dont Bitbucket, Confluence, les deux produits Jira, Bamboo, Crowd, Crucible et Fisheye ².

Comment des chercheurs ont transformé une lecture de fichiers en accès administrateur

watchTowr Labs, cabinet de recherche en sécurité offensive, a publié son analyse le 6 octobre↗ ³. Une bibliothèque partagée du code de ressources web d'Atlassian convertit les séquences de doubles deux-points en séparateurs de répertoires : la chaîne « ..:: » passe ainsi entre les mailles des contrôles de chemin et lit des fichiers à l'intérieur du serveur d'applications ³. Sur une instance Jira reliée à Crowd, le hub d'identités et d'authentification unique (SSO) d'Atlassian, les chercheurs ont lu le fichier crowd.properties, récupéré le mot de passe d'application en clair qu'il contenait, puis créé un utilisateur dans le groupe jira-administrators ³.

Des serveurs exposés par centaines de milliers, voire par millions, et les premières attaques au bout de deux heures

watchTowr situe le parc de serveurs exposés « à six ou sept chiffres », une simple recherche ayant déjà recensé un peu moins de 700 000 instances, rien que pour Confluence ³. Previdian, société de surveillance de la sécurité, rapporte que ses serveurs-leurres (honeypots) ont enregistré 15 tentatives provenant de trois adresses IP situées au Japon et aux États-Unis↗, dès deux heures après la divulgation publique de la preuve de concept ⁴⁵. Le résumé de watchTowr était plus tranchant : Atlassian « punit ceux d'entre nous qui font tourner leurs systèmes sur site (on-premise) » ³.

L'offre exploitée est celle que la réévaluation a oubliée

L'avis de sécurité d'Atlassian contient la phrase que le camp haussier peut brandir : les produits cloud concernés « ont été corrigés, et nos investigations n'ont révélé aucune preuve d'exploitation. Aucune action n'est requise de la part des clients Cloud » ². Le même mois, Bitbucket Cloud s'est ouvert aux assistants d'IA via OAuth, en passant par le serveur MCP d'Atlassian↗ — le connecteur Model Context Protocol —, permettant aux agents de gérer les pull requests et les commits dans le cadre des autorisations existantes ⁶.

Ce cloud tourné vers les agents, c'est l'Atlassian que le marché détient : quelque 52 milliards de dollars, soit environ huit fois le chiffre d'affaires des douze derniers mois↗, après une progression de l'action de plus de 200 % en 120 jours ⁷.

27,6 % de croissance et premier bénéfice opérationnel depuis début 2024

Les résultats du trimestre de juin, à l'origine de la réévaluation, sont des faits avérés : un chiffre d'affaires de 1,766 milliard de dollars, en hausse de 27,6 %↗, et une première marge opérationnelle positive au sens des normes GAAP depuis le trimestre de mars 2024 ⁸. Le chiffre d'affaires du cloud a progressé de 31 %, à 1,21 milliard de dollars ⁷. La faille, elle, se loge ailleurs : dans les installations sur site des grandes entreprises et des administrations, cette offre qu'Atlassian s'efforce depuis dix ans de faire passer à l'abonnement, sous la bannière de son argumentaire « Ascend to the Atlassian cloud »↗ ⁹.

Les correctifs existent, et le camp haussier a des preuves à l'appui

Les versions corrigées sont disponibles pour les huit produits, et watchTowr Labs note elle-même que la liste blanche d'adresses IP de Crowd atténue la chaîne d'attaque la plus redoutable ²³. Le directeur général Mike Cannon-Brookes s'est engagé à acheter des actions pour un montant pouvant atteindre 250 millions de dollars, et Bank of America▼−0.91% — Bank of America, down 0.91 percent today a relevé sa recommandation à « achat », avec un objectif de cours de 175 dollars, voyant dans Atlassian « un bénéficiaire de l'IA plutôt qu'une victime » ⁷. Aucune donnée publique ne mesure encore un éventuel départ des administrations ou des entreprises du « Data Center » en raison de cette faille. Tant que rien de tel n'est rendu public, la CVE reste un coût de correctif et un argument pour la saison des renouvellements, pas une ligne de chiffre d'affaires.

Le 5 novembre répondra à une autre question

Le titre TEAM a clôturé le 16 octobre à 207,82 dollars, en repli de 4,3 % sur la séance — un mouvement que ce compte rendu n'impute pas à la CVE ⁹. Les résultats du premier trimestre de l'exercice fiscal 2027 seront publiés le 5 novembre 2026, avec une croissance du chiffre d'affaires récurrent annuel des abonnements (ARR) guidée à 18 % pour l'année, contre les 31 % de croissance du cloud qui ont porté la réévaluation ⁷. Les agences fédérales américaines ont jusqu'à demain ; la question du marché, à laquelle il sera répondu le 5 novembre, est de savoir lequel de ces deux taux de croissance s'impose comme rythme de croisière (run rate).