अमेरिकी संघीय एजेंसियों को एटलैसियन की दुरुपयोग की जा चुकी खामी का पैच 18 अक्टूबर तक लगाना है; क्लाउड प्रोडक्ट्स के लिए कोई कार्रवाई जरूरी नहीं
संघीय एजेंसियों को CVE-2026-21589 का पैच 18 अक्टूबर तक लगाना है। यह खामी सिर्फ एटलैसियन के सेल्फ-होस्टेड (ग्राहक के अपने सर्वर पर चलने वाले) प्रोडक्ट्स में है—उसी टियर को कंपनी पिछले दशक से क्लाउड की ओर खिसका रही है। और जो एटलैसियन री-रेटिंग (re-rating) के बाद 52 अरब डॉलर का हो गया है, वह दूसरा एटलैसियन है।
Vincent Jiang · 3 min read
15 अक्टूबर 2026 को अमेरिका की साइबर सुरक्षा एवं अवसंरचना सुरक्षा एजेंसी (सीआईएसए) ने CVE-2026-21589 को अपनी जिन कमजोरियों का दुरुपयोग हो चुका है उनकी सूची में शामिल कर लिया। इस सूची में शामिल होते ही संघीय एजेंसियों के लिए तय तारीख तक उस कमजोरी को ठीक करना बाध्यकारी हो जाता है 1। इस बार की डेडलाइन 18 अक्टूबर है—यानी कल 1।
9.3 रेटिंग वाली फाइल पढ़ने की खामी पर कल तक पैच लगाना है
एटलैसियन−5.31% — एटलैसियन, down 5.31 percent today—जिरा, कॉन्फ्लुएंस और बिटबकेट बनाने वाली कंपनी—ने 5 अक्टूबर को अपना एडवाइजरी जारी किया। गंभीर (क्रिटिकल) दर्जे की इस खामी को सीवीएसएस गंभीरता स्केल (CVSS) पर 10 में से 9.3 का स्कोर मिला है। बशर्ते पूरा पाथ पता हो, बिना प्रमाणीकरण (unauthenticated) के कोई भी हमलावर सर्वर की वेब रूट के भीतर की फाइलें पढ़ सकता है 2। आठ सेल्फ-होस्टेड डेटा सेंटर प्रोडक्ट्स—बिटबकेट, कॉन्फ्लुएंस, जिरा के दोनों वर्जन, बैम्बू, क्राउड, क्रूसिबल और फिशआई—की फिक्स रिलीज़ से पुरानी हर वर्जन इसकी चपेट में है 2।
फाइल पढ़ने की खामी को रिसर्चर्स ने एडमिन एक्सेस में कैसे बदला
watchTowr Labs नाम की ऑफेंसिव सिक्योरिटी रिसर्च फर्म—यानी सुरक्षा को हमलावर की नजर से परखने वाली फर्म—ने 6 अक्टूबर को अपना विश्लेषण प्रकाशित किया 3। एटलैसियन के वेब-रिसोर्स कोड की एक शेयर्ड लाइब्रेरी डबल कोलन (::) की स्ट्रिंग को डायरेक्टरी सेपरेटर में बदल देती है। नतीजा: '..::' जैसी स्ट्रिंग पाथ की जांचों को चकमा देकर एप्लिकेशन सर्वर के भीतर की फाइलें पढ़ लेती है 3। क्राउड—एटलैसियन का आइडेंटिटी और सिंगल साइन-ऑन (एक लॉगिन से कई ऐप) हब—से जुड़े जिरा डिप्लॉयमेंट में रिसर्चर्स ने crowd.properties फाइल पढ़ी, उसमें दर्ज प्लेनटेक्स्ट (बिना एन्क्रिप्टेड) एप्लिकेशन पासवर्ड निकाला और jira-administrators ग्रुप में एक यूजर बना डाला 3।
उजागर सर्वरों की तादाद छह से सात अंकों के दायरे में, पहली हमला-कोशिश सिर्फ दो घंटे बाद
watchTowr का अनुमान है कि उजागर मशीनों की तादाद "छह से सात अंकों" के दायरे में है—एक झटपट सर्च में अकेले कॉन्फ्लुएंस के ही सात लाख से थोड़े कम इंस्टेंस मिल गए 3। सिक्योरिटी-मॉनिटरिंग फर्म प्रीविडियन (Previdian) ने बताया कि उसके हनीपॉट्स—हमलावरों के लिए बिछाए गए डिकॉय सर्वरों—पर जापान और अमेरिका स्थित तीन आईपी एड्रेस से 15 हमला-कोशिशें दर्ज हुईं, शुरुआत पब्लिक प्रूफ ऑफ कॉन्सेप्ट—कमजोरी का दोहन दिखाने वाला सार्वजनिक कोड—जारी होने के ठीक दो घंटे बाद 45। watchTowr का अपना सारांश इससे भी सीधा-सपाट था: एटलैसियन "अपने सिस्टम ऑन-प्रिमाइज़ यानी अपने ही सर्वरों पर चलाने की सजा हम बाकी लोगों को दे रहा है" 3।
जिस टियर में दुरुपयोग हुआ, री-रेटिंग ने उसी को भुला दिया
एटलैसियन की एडवाइजरी में वह वाक्य भी दर्ज है जिसे तेजी के पक्ष की दलील (बुल केस) मानने वाले हवाले के तौर पर पेश कर सकते हैं: प्रभावित क्लाउड प्रोडक्ट्स "पैच हो चुके हैं, और हमारी जांच में दुरुपयोग के सबूत नहीं मिले हैं। क्लाउड कस्टमर को किसी कार्रवाई की जरूरत नहीं है" 2। इसी महीने बिटबकेट क्लाउड ने एटलैसियन के MCP सर्वर के जरिए OAuth पर एआई असिस्टेंट्स के लिए दरवाजे खोल दिए—यह मॉडल कॉन्टेक्स्ट प्रोटोकॉल नाम का कनेक्टर है—जिससे एआई एजेंट मौजूदा परमिशन के तहत पुल रिक्वेस्ट और कमिट संभाल सकते हैं 6।
बाजार के पास जो एटलैसियन है, वह यही एआई-एजेंट-फेसिंग क्लाउड है: ट्रेलिंग सेल्स—पिछली बारह तिमाहियों की बिक्री—के करीब आठ गुना पर लगभग 52 अरब डॉलर की कीमत, 120 दिनों में 200% से ज्यादा की रैली के बाद 7।
जून तिमाही में रेवेन्यू ग्रोथ फिर रफ्तार पकड़कर 27.6% पर
Data
| रेवेन्यू | |
|---|---|
| Q1 '24 | $1.19B |
| Q2 '24 | $1.13B |
| Q3 '24 | $1.19B |
| Q4 '24 | $1.29B |
| Q1 '25 | $1.36B |
| Q2 '25 | $1.38B |
| Q3 '25 | $1.43B |
| Q4 '25 | $1.59B |
| Q1 '26 | $1.79B |
| Q2 '26 | $1.77B |
27.6% ग्रोथ, और 2024 की शुरुआत के बाद पहला ऑपरेटिंग मुनाफा
री-रेटिंग जिस जून तिमाही के नतीजों पर खड़ी है, वे दर्ज तथ्य हैं: 1.766 अरब डॉलर का रेवेन्यू, 27.6% की बढ़त, और मार्च 2024 की तिमाही के बाद पहली पॉजिटिव GAAP ऑपरेटिंग मार्जिन 8। क्लाउड रेवेन्यू 31% बढ़कर 1.21 अरब डॉलर हो गया 7। खामी कहीं और मौजूद है — बड़े एंटरप्राइज़ों और एजेंसियों के ऑन-प्रिमाइज़ इंस्टॉलेशन में। यही वह टियर है जिसे एटलैसियन एक दशक से अपनी "Ascend to the Atlassian cloud" पिटच के जरिए सब्सक्रिप्शन पर ले जाने की कोशिश कर रहा है 9।
जून तिमाही की 11.9% मार्जिन, Q1 2024 के बाद पहली पॉजिटिव मार्जिन
Data
| ऑपरेटिंग मार्जिन | |
|---|---|
| Q3 '23 | -1.9% |
| Q4 '23 | -4.6% |
| Q1 '24 | 1.5% |
| Q2 '24 | -5.9% |
| Q3 '24 | -2.7% |
| Q4 '24 | -4.5% |
| Q1 '25 | -0.9% |
| Q2 '25 | -2.1% |
| Q3 '25 | -6.7% |
| Q4 '25 | -3% |
| Q1 '26 | -3.1% |
| Q2 '26 | 11.9% |
पैच मौजूद हैं, और तेजी के पक्ष की दलील के पास सबूत भी हाजिर
सभी आठ प्रोडक्ट्स के लिए फिक्स्ड वर्जन जारी हो चुके हैं, और watchTowr खुद नोट करता है कि क्राउड की आईपी अलाउलिस्टिंग (IP allowlisting) सबसे खतरनाक अटैक चेन की धार कुंद कर देती है 23। सीईओ माइक कैनन-ब्रुक्स कंपनी के 25 करोड़ डॉलर तक के शेयर खरीदने के लिए प्रतिबद्ध हैं, और बैंक ऑफ अमेरिका−0.91% — बैंक ऑफ अमेरिका, down 0.91 percent today ने 175 डॉलर के टारगेट के साथ रेटिंग बढ़ाकर 'बाय' कर दी है, एटलैसियन को "एआई का शिकार नहीं, बल्कि एआई का लाभार्थी" कहते हुए 7। इस खामी की वजह से कोई एजेंसी या एंटरप्राइज़ डेटा सेंटर छोड़ रहा है या नहीं, इसे मापने वाला कोई सार्वजनिक आंकड़ा अभी नहीं आया है। जब तक ऐसा कुछ सामने नहीं आता, यह CVE सिर्फ पैच का एक खर्च और रिन्यूअल सीज़न की एक दलील है — रेवेन्यू की कोई लाइन नहीं।
5 नवंबर एक अलग सवाल का जवाब देगा
TEAM का शेयर 16 अक्टूबर को 207.82 डॉलर पर बंद हुआ, उस दिन 4.3% की गिरावट के साथ — हालांकि इस रिकॉर्ड में इस गिरावट की वजह CVE नहीं बताई गई है 9। फिस्कल 2027 की पहली तिमाही के नतीजे 5 नवंबर 2026 को सामने आएंगे। पूरे साल के लिए सब्सक्रिप्शन ARR ग्रोथ का गाइडेंस 18% है, जबकि री-रेटिंग दिलाने वाली क्लाउड ग्रोथ 31% थी 7। फेडरल एजेंसियों के पास कल तक का समय है; मार्केट के सवाल का जवाब 5 नवंबर को मिलेगा — इन दो ग्रोथ रेट में से कौन-सा असली रन रेट (run rate) साबित होता है।
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
