---
title: "अमेरिकी संघीय एजेंसियों को एटलैसियन की दुरुपयोग की जा चुकी खामी का पैच 18 अक्टूबर तक लगाना है; क्लाउड प्रोडक्ट्स के लिए कोई कार्रवाई जरूरी नहीं"
description: "संघीय एजेंसियों को CVE-2026-21589 का पैच 18 अक्टूबर तक लगाना है। यह खामी सिर्फ एटलैसियन के सेल्फ-होस्टेड (ग्राहक के अपने सर्वर पर चलने वाले) प्रोडक्ट्स में है—उसी टियर को कंपनी पिछले दशक से क्लाउड की ओर खिसका रही है। और जो एटलैसियन री-रेटिंग (re-rating) के बाद 52 अरब डॉलर का हो गया है, वह दूसरा एटलैसियन है।"
publisher: "The Inference"
section: "Safety"
published: 2026-10-17T17:05:38.296Z
modified: 2026-10-17T17:05:38.296Z
canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/hi
language: hi
keywords: "Atlassian, Cybersecurity, Vulnerabilities, Cloud Computing, CISA"
---

# अमेरिकी संघीय एजेंसियों को एटलैसियन की दुरुपयोग की जा चुकी खामी का पैच 18 अक्टूबर तक लगाना है; क्लाउड प्रोडक्ट्स के लिए कोई कार्रवाई जरूरी नहीं

> संघीय एजेंसियों को CVE-2026-21589 का पैच 18 अक्टूबर तक लगाना है। यह खामी सिर्फ एटलैसियन के सेल्फ-होस्टेड (ग्राहक के अपने सर्वर पर चलने वाले) प्रोडक्ट्स में है—उसी टियर को कंपनी पिछले दशक से क्लाउड की ओर खिसका रही है। और जो एटलैसियन री-रेटिंग (re-rating) के बाद 52 अरब डॉलर का हो गया है, वह दूसरा एटलैसियन है।

15 अक्टूबर 2026 को अमेरिका की साइबर सुरक्षा एवं अवसंरचना सुरक्षा एजेंसी (सीआईएसए) ने CVE-2026-21589 को अपनी [जिन कमजोरियों का दुरुपयोग हो चुका है उनकी सूची](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589) में शामिल कर लिया। इस सूची में शामिल होते ही संघीय एजेंसियों के लिए तय तारीख तक उस कमजोरी को ठीक करना बाध्यकारी हो जाता है [1]। इस बार की डेडलाइन 18 अक्टूबर है—यानी कल [1]।

## 9.3 रेटिंग वाली फाइल पढ़ने की खामी पर कल तक पैच लगाना है

[एटलैसियन](https://theinference.org/markets/companies/atlassian)—जिरा, कॉन्फ्लुएंस और बिटबकेट बनाने वाली कंपनी—ने [5 अक्टूबर को अपना एडवाइजरी जारी किया](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html)। गंभीर (क्रिटिकल) दर्जे की इस खामी को सीवीएसएस गंभीरता स्केल (CVSS) पर 10 में से 9.3 का स्कोर मिला है। बशर्ते पूरा पाथ पता हो, बिना प्रमाणीकरण (unauthenticated) के कोई भी हमलावर सर्वर की वेब रूट के भीतर की फाइलें पढ़ सकता है [2]। आठ सेल्फ-होस्टेड डेटा सेंटर प्रोडक्ट्स—बिटबकेट, कॉन्फ्लुएंस, जिरा के दोनों वर्जन, बैम्बू, क्राउड, क्रूसिबल और फिशआई—की फिक्स रिलीज़ से पुरानी हर वर्जन इसकी चपेट में है [2]।

## फाइल पढ़ने की खामी को रिसर्चर्स ने एडमिन एक्सेस में कैसे बदला

watchTowr Labs नाम की ऑफेंसिव सिक्योरिटी रिसर्च फर्म—यानी सुरक्षा को हमलावर की नजर से परखने वाली फर्म—ने [6 अक्टूबर को अपना विश्लेषण प्रकाशित किया](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) [3]। एटलैसियन के वेब-रिसोर्स कोड की एक शेयर्ड लाइब्रेरी डबल कोलन (::) की स्ट्रिंग को डायरेक्टरी सेपरेटर में बदल देती है। नतीजा: '..::' जैसी स्ट्रिंग पाथ की जांचों को चकमा देकर एप्लिकेशन सर्वर के भीतर की फाइलें पढ़ लेती है [3]। क्राउड—एटलैसियन का आइडेंटिटी और सिंगल साइन-ऑन (एक लॉगिन से कई ऐप) हब—से जुड़े जिरा डिप्लॉयमेंट में रिसर्चर्स ने crowd.properties फाइल पढ़ी, उसमें दर्ज प्लेनटेक्स्ट (बिना एन्क्रिप्टेड) एप्लिकेशन पासवर्ड निकाला और jira-administrators ग्रुप में एक यूजर बना डाला [3]।

## उजागर सर्वरों की तादाद छह से सात अंकों के दायरे में, पहली हमला-कोशिश सिर्फ दो घंटे बाद

watchTowr का अनुमान है कि उजागर मशीनों की तादाद "छह से सात अंकों" के दायरे में है—एक झटपट सर्च में अकेले कॉन्फ्लुएंस के ही सात लाख से थोड़े कम इंस्टेंस मिल गए [3]। सिक्योरिटी-मॉनिटरिंग फर्म प्रीविडियन (Previdian) ने बताया कि [उसके हनीपॉट्स—हमलावरों के लिए बिछाए गए डिकॉय सर्वरों—पर जापान और अमेरिका स्थित तीन आईपी एड्रेस से 15 हमला-कोशिशें दर्ज हुईं](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/), शुरुआत पब्लिक प्रूफ ऑफ कॉन्सेप्ट—कमजोरी का दोहन दिखाने वाला सार्वजनिक कोड—जारी होने के ठीक दो घंटे बाद [4][5]। watchTowr का अपना सारांश इससे भी सीधा-सपाट था: एटलैसियन "अपने सिस्टम ऑन-प्रिमाइज़ यानी अपने ही सर्वरों पर चलाने की सजा हम बाकी लोगों को दे रहा है" [3]।

## जिस टियर में दुरुपयोग हुआ, री-रेटिंग ने उसी को भुला दिया

एटलैसियन की एडवाइजरी में वह वाक्य भी दर्ज है जिसे तेजी के पक्ष की दलील (बुल केस) मानने वाले हवाले के तौर पर पेश कर सकते हैं: प्रभावित क्लाउड प्रोडक्ट्स "पैच हो चुके हैं, और हमारी जांच में दुरुपयोग के सबूत नहीं मिले हैं। क्लाउड कस्टमर को किसी कार्रवाई की जरूरत नहीं है" [2]। इसी महीने [बिटबकेट क्लाउड ने एटलैसियन के MCP सर्वर के जरिए OAuth पर एआई असिस्टेंट्स के लिए दरवाजे खोल दिए](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp)—यह मॉडल कॉन्टेक्स्ट प्रोटोकॉल नाम का कनेक्टर है—जिससे एआई एजेंट मौजूदा परमिशन के तहत पुल रिक्वेस्ट और कमिट संभाल सकते हैं [6]।

बाजार के पास जो एटलैसियन है, वह यही एआई-एजेंट-फेसिंग क्लाउड है: [ट्रेलिंग सेल्स—पिछली बारह तिमाहियों की बिक्री—के करीब आठ गुना पर लगभग 52 अरब डॉलर की कीमत](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/), 120 दिनों में 200% से ज्यादा की रैली के बाद [7]।

*Chart: **जून तिमाही में रेवेन्यू ग्रोथ फिर रफ्तार पकड़कर 27.6% पर** एटलैसियन की तिमाही रेवेन्यू दिखाने वाला लाइन चार्ट: रेवेन्यू Q1 2024 के 1.19 अरब डॉलर से बढ़ते-बढ़ते Q2 2026 में 1.77 अरब डॉलर पर पहुंची है; आखिरी तिमाही को Q1 2024 के बाद से पहली पॉजिटिव ऑपरेटिंग मार्जिन वाली तिमाही के तौर पर चिह्नित किया गया है।*

*एटलैसियन की एसईसी (SEC) फाइलिंग्स पर आधारित, अरब डॉलर में तिमाही रेवेन्यू; लेबल कैलेंडर तिमाहियां हैं, इसलिए Q2 '26 असल में फिस्कल Q4 है, जो जून 2026 में खत्म हुआ। [8]*

## 27.6% ग्रोथ, और 2024 की शुरुआत के बाद पहला ऑपरेटिंग मुनाफा

री-रेटिंग जिस जून तिमाही के नतीजों पर खड़ी है, वे दर्ज तथ्य हैं: [1.766 अरब डॉलर का रेवेन्यू, 27.6% की बढ़त](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372), और मार्च 2024 की तिमाही के बाद पहली पॉजिटिव GAAP ऑपरेटिंग मार्जिन [8]। क्लाउड रेवेन्यू 31% बढ़कर 1.21 अरब डॉलर हो गया [7]। खामी कहीं और मौजूद है — बड़े एंटरप्राइज़ों और एजेंसियों के ऑन-प्रिमाइज़ इंस्टॉलेशन में। यही वह टियर है जिसे एटलैसियन एक दशक से अपनी ["Ascend to the Atlassian cloud" पिटच](https://investors.atlassian.com/) के जरिए सब्सक्रिप्शन पर ले जाने की कोशिश कर रहा है [9]।

*Chart: **जून तिमाही की 11.9% मार्जिन, Q1 2024 के बाद पहली पॉजिटिव मार्जिन** एटलैसियन की तिमाहीवार GAAP ऑपरेटिंग मार्जिन दिखाने वाला लाइन चार्ट: Q2 2024 से Q1 2026 तक नेगेटिव रही मार्जिन, फिर Q2 2026 में कूदकर पॉजिटिव 11.9% पर पहुंच जाती है।*

*एटलैसियन की एसईसी (SEC) फाइलिंग्स पर आधारित, कैलेंडर तिमाही के हिसाब से रेवेन्यू के प्रतिशत के रूप में GAAP ऑपरेटिंग मार्जिन; लेबल कैलेंडर तिमाहियां हैं, इसलिए Q2 '26 असल में फिस्कल Q4 है, जो जून 2026 में खत्म हुआ। [8]*

## पैच मौजूद हैं, और तेजी के पक्ष की दलील के पास सबूत भी हाजिर

सभी आठ प्रोडक्ट्स के लिए फिक्स्ड वर्जन जारी हो चुके हैं, और watchTowr खुद नोट करता है कि क्राउड की आईपी अलाउलिस्टिंग (IP allowlisting) सबसे खतरनाक अटैक चेन की धार कुंद कर देती है [2][3]। सीईओ माइक कैनन-ब्रुक्स कंपनी के 25 करोड़ डॉलर तक के शेयर खरीदने के लिए प्रतिबद्ध हैं, और [बैंक ऑफ अमेरिका](https://theinference.org/markets/companies/bank-of-america) ने 175 डॉलर के टारगेट के साथ रेटिंग बढ़ाकर 'बाय' कर दी है, एटलैसियन को "एआई का शिकार नहीं, बल्कि एआई का लाभार्थी" कहते हुए [7]। इस खामी की वजह से कोई एजेंसी या एंटरप्राइज़ डेटा सेंटर छोड़ रहा है या नहीं, इसे मापने वाला कोई सार्वजनिक आंकड़ा अभी नहीं आया है। जब तक ऐसा कुछ सामने नहीं आता, यह CVE सिर्फ पैच का एक खर्च और रिन्यूअल सीज़न की एक दलील है — रेवेन्यू की कोई लाइन नहीं।

## 5 नवंबर एक अलग सवाल का जवाब देगा

TEAM का शेयर 16 अक्टूबर को 207.82 डॉलर पर बंद हुआ, उस दिन 4.3% की गिरावट के साथ — हालांकि इस रिकॉर्ड में इस गिरावट की वजह CVE नहीं बताई गई है [9]। फिस्कल 2027 की पहली तिमाही के नतीजे 5 नवंबर 2026 को सामने आएंगे। पूरे साल के लिए सब्सक्रिप्शन ARR ग्रोथ का गाइडेंस 18% है, जबकि री-रेटिंग दिलाने वाली क्लाउड ग्रोथ 31% थी [7]। फेडरल एजेंसियों के पास कल तक का समय है; मार्केट के सवाल का जवाब 5 नवंबर को मिलेगा — इन दो ग्रोथ रेट में से कौन-सा असली रन रेट (run rate) साबित होता है।

## Takeaway

सीआईएसए की 18 अक्टूबर की डेडलाइन सिर्फ एटलैसियन के सेल्फ-होस्टेड टियर पर लागू होती है; 52 अरब डॉलर की री-रेटिंग जिस क्लाउड टियर के दम पर हुई है, उसे कोई एक्शन नहीं चाहिए। 5 नवंबर परखेगा कि एआई ग्रोथ की कहानी कब तक टिकती है।

## Sources

1. [CISA, Known Exploited Vulnerabilities Catalog entry for CVE-2026-21589, added 15 October 2026](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589)
2. [Atlassian Security Advisory, CVE-2026-21589 Arbitrary File Access Vulnerability impacts Multiple Products, 5 October 2026](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html)
3. [watchTowr Labs, You Won't Hear About These, Even In Myths (Atlassian Jira, Confluence and more pre-auth arbitrary file read, CVE-2026-21589), 6 October 2026](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/)
4. [SecurityAffairs, U.S. CISA adds Atlassian flaw to its Known Exploited Vulnerabilities catalog, 16 October 2026](https://securityaffairs.com/201086/hacking/u-s-cisa-adds-atlassian-flaw-to-its-known-exploited-vulnerabilities-catalog.html)
5. [BleepingComputer, Hackers exploit critical Atlassian flaw after public PoC release, 7 October 2026](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/)
6. [Atlassian blog, Connect Bitbucket Cloud to your AI tools with Atlassian MCP, October 2026](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp)
7. [Ainvest, The AI Narrative at Atlassian Has Flipped. Whether It Holds Depends on What the AI Actually Earns, 17 October 2026](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/)
8. [Atlassian, quarterly figures from its SEC filings, retrieved 17 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372)
9. [Atlassian Investor Relations, stock quote and cloud migration pages, retrieved 17 October 2026](https://investors.atlassian.com/)


---

अमेरिकी संघीय एजेंसियों को एटलैसियन की दुरुपयोग की जा चुकी खामी का पैच 18 अक्टूबर तक लगाना है; क्लाउड प्रोडक्ट्स के लिए कोई कार्रवाई जरूरी नहीं — The Inference. Canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/hi