---
title: "Les agences fédérales américaines doivent corriger la faille Atlassian, déjà exploitée, d'ici au 18 octobre ; les produits cloud, eux, ne demandent aucune action"
description: "Les agences fédérales ont jusqu'au 18 octobre pour corriger la CVE-2026-21589. Mais la faille ne touche que les produits auto-hébergés d'Atlassian, cette gamme que l'éditeur pousse depuis dix ans vers le cloud. Quant à l'Atlassian réévalué à 52 milliards de dollars, c'est l'autre."
publisher: "The Inference"
section: "Safety"
published: 2026-10-17T17:05:38.296Z
modified: 2026-10-17T17:05:38.296Z
canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/fr
language: fr
keywords: "Atlassian, Cybersecurity, Vulnerabilities, Cloud Computing, CISA"
---

# Les agences fédérales américaines doivent corriger la faille Atlassian, déjà exploitée, d'ici au 18 octobre ; les produits cloud, eux, ne demandent aucune action

> Les agences fédérales ont jusqu'au 18 octobre pour corriger la CVE-2026-21589. Mais la faille ne touche que les produits auto-hébergés d'Atlassian, cette gamme que l'éditeur pousse depuis dix ans vers le cloud. Quant à l'Atlassian réévalué à 52 milliards de dollars, c'est l'autre.

Le 15 octobre 2026, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la CVE-2026-21589 à son [catalogue des vulnérabilités exploitées connues (KEV)](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589), cette liste qui astreint les agences fédérales à corriger avant une date fixée toute faille qui y figure [1]. En l'occurrence, l'échéance tombe le 18 octobre : demain [1].

## Une lecture de fichiers notée 9,3, à corriger demain

[Atlassian](https://theinference.org/markets/companies/atlassian), l'éditeur de Jira, Confluence et Bitbucket, [a publié son avis de sécurité le 5 octobre](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html) : une faille jugée critique — 9,3 sur l'échelle de sévérité CVSS, qui va de 0 à 10 — qui permet à un attaquant non authentifié de lire des fichiers dans la racine web d'un serveur dès lors que leur chemin exact est connu [2]. Toutes les versions antérieures aux éditions corrigées de huit produits « Data Center » auto-hébergés sont touchées, dont Bitbucket, Confluence, les deux produits Jira, Bamboo, Crowd, Crucible et Fisheye [2].

## Comment des chercheurs ont transformé une lecture de fichiers en accès administrateur

watchTowr Labs, cabinet de recherche en sécurité offensive, [a publié son analyse le 6 octobre](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) [3]. Une bibliothèque partagée du code de ressources web d'Atlassian convertit les séquences de doubles deux-points en séparateurs de répertoires : la chaîne « ..:: » passe ainsi entre les mailles des contrôles de chemin et lit des fichiers à l'intérieur du serveur d'applications [3]. Sur une instance Jira reliée à Crowd, le hub d'identités et d'authentification unique (SSO) d'Atlassian, les chercheurs ont lu le fichier crowd.properties, récupéré le mot de passe d'application en clair qu'il contenait, puis créé un utilisateur dans le groupe jira-administrators [3].

## Des serveurs exposés par centaines de milliers, voire par millions, et les premières attaques au bout de deux heures

watchTowr situe le parc de serveurs exposés « à six ou sept chiffres », une simple recherche ayant déjà recensé un peu moins de 700 000 instances, rien que pour Confluence [3]. Previdian, société de surveillance de la sécurité, rapporte que [ses serveurs-leurres (honeypots) ont enregistré 15 tentatives provenant de trois adresses IP situées au Japon et aux États-Unis](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/), dès deux heures après la divulgation publique de la preuve de concept [4][5]. Le résumé de watchTowr était plus tranchant : Atlassian « punit ceux d'entre nous qui font tourner leurs systèmes sur site (on-premise) » [3].

## L'offre exploitée est celle que la réévaluation a oubliée

L'avis de sécurité d'Atlassian contient la phrase que le camp haussier peut brandir : les produits cloud concernés « ont été corrigés, et nos investigations n'ont révélé aucune preuve d'exploitation. Aucune action n'est requise de la part des clients Cloud » [2]. Le même mois, [Bitbucket Cloud s'est ouvert aux assistants d'IA via OAuth, en passant par le serveur MCP d'Atlassian](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp) — le connecteur Model Context Protocol —, permettant aux agents de gérer les pull requests et les commits dans le cadre des autorisations existantes [6].

Ce cloud tourné vers les agents, c'est l'Atlassian que le marché détient : [quelque 52 milliards de dollars, soit environ huit fois le chiffre d'affaires des douze derniers mois](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/), après une progression de l'action de plus de 200 % en 120 jours [7].

*Chart: **Un chiffre d'affaires qui accélère de nouveau, à +27,6 % sur un an au trimestre de juin** Graphique en courbe du chiffre d'affaires trimestriel d'Atlassian, en hausse de 1,19 milliard de dollars au T1 2024 à 1,77 milliard au T2 2026, le dernier trimestre étant annoté comme première marge opérationnelle positive depuis le T1 2024.*

*Chiffre d'affaires trimestriel, en milliards de dollars, d'après les documents déposés par Atlassian auprès de la SEC ; les libellés sont des trimestres calendaires : le T2 26 est donc le T4 de l'exercice fiscal, clos en juin 2026. [8]*

## 27,6 % de croissance et premier bénéfice opérationnel depuis début 2024

Les résultats du trimestre de juin, à l'origine de la réévaluation, sont des faits avérés : [un chiffre d'affaires de 1,766 milliard de dollars, en hausse de 27,6 %](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372), et une première marge opérationnelle positive au sens des normes GAAP depuis le trimestre de mars 2024 [8]. Le chiffre d'affaires du cloud a progressé de 31 %, à 1,21 milliard de dollars [7]. La faille, elle, se loge ailleurs : dans les installations sur site des grandes entreprises et des administrations, cette offre qu'Atlassian s'efforce depuis dix ans de faire passer à l'abonnement, sous la bannière de son argumentaire [« Ascend to the Atlassian cloud »](https://investors.atlassian.com/) [9].

*Chart: **Une marge de 11,9 % au trimestre de juin : la première positive depuis le T1 2024** Graphique en courbe de la marge opérationnelle GAAP d'Atlassian par trimestre, négative du T2 2024 au T1 2026, avant de bondir en territoire positif à 11,9 % au T2 2026.*

*Marge opérationnelle GAAP, en part du chiffre d'affaires et par trimestre calendaire, d'après les documents déposés par Atlassian auprès de la SEC ; les libellés sont des trimestres calendaires : le T2 26 est donc le T4 de l'exercice fiscal, clos en juin 2026. [8]*

## Les correctifs existent, et le camp haussier a des preuves à l'appui

Les versions corrigées sont disponibles pour les huit produits, et watchTowr Labs note elle-même que la liste blanche d'adresses IP de Crowd atténue la chaîne d'attaque la plus redoutable [2][3]. Le directeur général Mike Cannon-Brookes s'est engagé à acheter des actions pour un montant pouvant atteindre 250 millions de dollars, et [Bank of America](https://theinference.org/markets/companies/bank-of-america) a relevé sa recommandation à « achat », avec un objectif de cours de 175 dollars, voyant dans Atlassian « un bénéficiaire de l'IA plutôt qu'une victime » [7]. Aucune donnée publique ne mesure encore un éventuel départ des administrations ou des entreprises du « Data Center » en raison de cette faille. Tant que rien de tel n'est rendu public, la CVE reste un coût de correctif et un argument pour la saison des renouvellements, pas une ligne de chiffre d'affaires.

## Le 5 novembre répondra à une autre question

Le titre TEAM a clôturé le 16 octobre à 207,82 dollars, en repli de 4,3 % sur la séance — un mouvement que ce compte rendu n'impute pas à la CVE [9]. Les résultats du premier trimestre de l'exercice fiscal 2027 seront publiés le 5 novembre 2026, avec une croissance du chiffre d'affaires récurrent annuel des abonnements (ARR) guidée à 18 % pour l'année, contre les 31 % de croissance du cloud qui ont porté la réévaluation [7]. Les agences fédérales américaines ont jusqu'à demain ; la question du marché, à laquelle il sera répondu le 5 novembre, est de savoir lequel de ces deux taux de croissance s'impose comme rythme de croisière (run rate).

## Takeaway

L'ultimatum de la CISA au 18 octobre ne vise que l'offre auto-hébergée d'Atlassian ; l'offre cloud, à l'origine de la réévaluation à 52 milliards de dollars, ne demande aucune action. Et le 5 novembre dira si le récit de croissance par l'IA tient.

## Sources

1. [CISA, Known Exploited Vulnerabilities Catalog entry for CVE-2026-21589, added 15 October 2026](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589)
2. [Atlassian Security Advisory, CVE-2026-21589 Arbitrary File Access Vulnerability impacts Multiple Products, 5 October 2026](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html)
3. [watchTowr Labs, You Won't Hear About These, Even In Myths (Atlassian Jira, Confluence and more pre-auth arbitrary file read, CVE-2026-21589), 6 October 2026](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/)
4. [SecurityAffairs, U.S. CISA adds Atlassian flaw to its Known Exploited Vulnerabilities catalog, 16 October 2026](https://securityaffairs.com/201086/hacking/u-s-cisa-adds-atlassian-flaw-to-its-known-exploited-vulnerabilities-catalog.html)
5. [BleepingComputer, Hackers exploit critical Atlassian flaw after public PoC release, 7 October 2026](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/)
6. [Atlassian blog, Connect Bitbucket Cloud to your AI tools with Atlassian MCP, October 2026](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp)
7. [Ainvest, The AI Narrative at Atlassian Has Flipped. Whether It Holds Depends on What the AI Actually Earns, 17 October 2026](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/)
8. [Atlassian, quarterly figures from its SEC filings, retrieved 17 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372)
9. [Atlassian Investor Relations, stock quote and cloud migration pages, retrieved 17 October 2026](https://investors.atlassian.com/)


---

Les agences fédérales américaines doivent corriger la faille Atlassian, déjà exploitée, d'ici au 18 octobre ; les produits cloud, eux, ne demandent aucune action — The Inference. Canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/fr