米政府機関、アトラシアンの悪用済み脆弱性を10月18日までに修正へ クラウド版は対応不要
米政府機関は10月18日までにCVE-2026-21589の修正を求められている。脆弱性が残るのはアトラシアンのセルフホスト型製品だけで、同社がこの10年、クラウドへの移行を促してきた層だ。再評価で時価総額520億ドルとなったアトラシアンは、その"もう一方"にある。
Vincent Jiang · 3 min read
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は2026年10月15日、CVE-2026-21589を既知の悪用済み脆弱性カタログに追加した。このカタログに掲載された脆弱性について、政府機関は指定期日までの修正を義務づけられる1。今回の期限は10月18日、明日だ1。
CVSS9.3のファイル読み出し脆弱性、修正期限は明日
Jira、Confluence、Bitbucketなどを開発するアトラシアン−5.31% — アトラシアン, down 5.31 percent todayは10月5日、脆弱性に関する注意喚起を公表した。深刻度は10段階評価のCVSS(共通脆弱性評価システム)で9.3と「クリティカル(緊急)」に相当し、正確なパスが分かれば、認証を経ていない攻撃者でもサーバーのウェブルート内のファイルを読み出せるという2。影響を受けるのはセルフホスト型の「データセンター(Data Center)」版8製品のうち、修正版より前の全バージョンで、Bitbucket、Confluence、Jiraの2製品のほか、Bamboo、Crowd、Crucible、Fisheyeが含まれる2。
ファイル読み出しを管理者権限に変える手口
攻撃的セキュリティの研究企業watchTowr Labsは10月6日付の分析を公表した3。アトラシアンのウェブリソース用コードに含まれる共有ライブラリは、コロン2つの並び(::)をディレクトリ区切り文字に変換する仕様を持つ。このため「..::」という文字列がパス検査をすり抜け、アプリケーションサーバー内部のファイルを読み出せてしまうという3。Jiraを、アトラシアンのID・シングルサインオン(SSO)ハブ製品「Crowd」と連携させた環境では、研究者らが設定ファイル「crowd.properties」を読み出し、平文で記録されたアプリケーションパスワードを入手。「jira-administrators」グループへのユーザー作成まで成功した3。
露出サーバーは6~7桁、最初の攻撃は2時間後
watchTowr Labsは、簡単な検索でConfluenceのインスタンスだけでも70万件弱が見つかったことから、露出するサーバーの規模を「6~7桁」とみている3。セキュリティ監視企業のPrevidianは、自社のハニーポットが日本と米国の3つのIPアドレスから計15回の攻撃試行を記録したと明らかにした。記録は、概念実証(PoC)コードの公開から2時間後に始まっていた45。watchTowr自身の総括はもっと率直だ。アトラシアンは「自社のシステムをオンプレミスで動かしている私たち残り全員を罰している」3という。
悪用されているのは、再評価が置き去りにした層
アトラシアンのセキュリティ勧告には、強気筋が引用したくなる一文が載っている。影響を受けたクラウド製品は「修正済みであり、当社の調査では悪用の証拠は確認されていない。クラウド顧客による対応は不要」2とする。同月には、Bitbucket CloudがアトラシアンのMCPサーバーを通じてOAuthによりAIアシスタントに開放された。MCPサーバーはモデル・コンテキスト・プロトコル(MCP)の接続機能で、エージェントが既存の権限のままプルリクエストやコミットを管理できるようになる6。
このエージェント向けクラウドこそ、市場が保有しているアトラシアンだ。株価は120日間で200%超の急伸となり、時価総額は約520億ドル、直近12カ月売上高の約8倍に達した7。
売上高の伸びは4~6月期に前年比27.6%へ再加速
Data
| 売上高 | |
|---|---|
| 24年1~3月期 | $1.19B |
| 24年4~6月期 | $1.13B |
| 24年7~9月期 | $1.19B |
| 24年10~12月期 | $1.29B |
| 25年1~3月期 | $1.36B |
| 25年4~6月期 | $1.38B |
| 25年7~9月期 | $1.43B |
| 25年10~12月期 | $1.59B |
| 26年1~3月期 | $1.79B |
| 26年4~6月期 | $1.77B |
27.6%増収、2024年初頭以来初の営業黒字
再評価を支える4~6月期の決算は、公表された事実そのものだ。売上高は17億6600万ドルで前年比27.6%増。GAAP(米国会計基準)ベースの営業利益率は2024年1~3月期以来初めてプラスに転じた8。クラウド売上高は31%増の12億1000万ドルだった7。脆弱性が潜むのは別の領域、すなわち大企業や政府機関のオンプレミス環境だ。アトラシアンはこの10年、「Ascend to the Atlassian cloud」という呼びかけのもとで、この顧客層をサブスクリプションへ移してきた9。
4~6月期の営業利益率11.9%は2024年1~3月期以来初のプラス
Data
| 営業利益率 | |
|---|---|
| 23年7~9月期 | -1.9% |
| 23年10~12月期 | -4.6% |
| 24年1~3月期 | 1.5% |
| 24年4~6月期 | -5.9% |
| 24年7~9月期 | -2.7% |
| 24年10~12月期 | -4.5% |
| 25年1~3月期 | -0.9% |
| 25年4~6月期 | -2.1% |
| 25年7~9月期 | -6.7% |
| 25年10~12月期 | -3% |
| 26年1~3月期 | -3.1% |
| 26年4~6月期 | 11.9% |
修正版は出そろい、強気筋の見方にも裏付け
8製品すべてで修正済みバージョンは出ており、watchTowr自身も、CrowdでIPアドレス許可リストを設定すれば最悪の攻撃チェーンの威力はそがれると指摘する23。最高経営責任者(CEO)のマイク・キャノンブロークス氏は最大2億5000万ドルの自社株購入を約束し、バンク・オブ・アメリカ−0.91% — バンク・オブ・アメリカ, down 0.91 percent todayは目標株価175ドルとして投資判断を「買い」に引き上げ、アトラシアンを「AIの犠牲者ではなく恩恵を受ける側」と評した7。この脆弱性のせいで政府機関や企業がデータセンター(Data Center)から離れる動きを測る公開情報はまだない。現れるまで、このCVEは修正コストと契約更新期の論点にとどまり、売上高を左右する項目ではない。
11月5日に答えが出るのは別の問い
米株TEAMは10月16日に207.82ドルで終え、当日比4.3%安だった。この下落をCVE-2026-21589によるものと結びつける記録は、本稿にはない9。2026年11月5日には2027会計年度第1四半期の決算が発表される。通期ガイダンスではサブスクリプションARR(年間経常収益)の成長率が18%で、再評価を牽引した31%のクラウド増収とは対照をなす7。連邦政府機関の期限は明日まで。11月5日に答えが出る市場の問いは、この2つの伸び率のどちらが本当のランレート(実力値)なのか、である。
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
