--- title: "米政府機関、アトラシアンの悪用済み脆弱性を10月18日までに修正へ クラウド版は対応不要" description: "米政府機関は10月18日までにCVE-2026-21589の修正を求められている。脆弱性が残るのはアトラシアンのセルフホスト型製品だけで、同社がこの10年、クラウドへの移行を促してきた層だ。再評価で時価総額520億ドルとなったアトラシアンは、その\"もう一方\"にある。" publisher: "The Inference" section: "Safety" published: 2026-10-17T17:05:38.296Z modified: 2026-10-17T17:05:38.296Z canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/ja language: ja keywords: "Atlassian, Cybersecurity, Vulnerabilities, Cloud Computing, CISA" --- # 米政府機関、アトラシアンの悪用済み脆弱性を10月18日までに修正へ クラウド版は対応不要 > 米政府機関は10月18日までにCVE-2026-21589の修正を求められている。脆弱性が残るのはアトラシアンのセルフホスト型製品だけで、同社がこの10年、クラウドへの移行を促してきた層だ。再評価で時価総額520億ドルとなったアトラシアンは、その"もう一方"にある。 米サイバーセキュリティ・インフラセキュリティ庁(CISA)は2026年10月15日、CVE-2026-21589を[既知の悪用済み脆弱性カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589)に追加した。このカタログに掲載された脆弱性について、政府機関は指定期日までの修正を義務づけられる[1]。今回の期限は10月18日、明日だ[1]。 ## CVSS9.3のファイル読み出し脆弱性、修正期限は明日 Jira、Confluence、Bitbucketなどを開発する[アトラシアン](https://theinference.org/markets/companies/atlassian)は10月5日、[脆弱性に関する注意喚起](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html)を公表した。深刻度は10段階評価のCVSS(共通脆弱性評価システム)で9.3と「クリティカル(緊急)」に相当し、正確なパスが分かれば、認証を経ていない攻撃者でもサーバーのウェブルート内のファイルを読み出せるという[2]。影響を受けるのはセルフホスト型の「データセンター(Data Center)」版8製品のうち、修正版より前の全バージョンで、Bitbucket、Confluence、Jiraの2製品のほか、Bamboo、Crowd、Crucible、Fisheyeが含まれる[2]。 ## ファイル読み出しを管理者権限に変える手口 攻撃的セキュリティの研究企業watchTowr Labsは[10月6日付の分析](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/)を公表した[3]。アトラシアンのウェブリソース用コードに含まれる共有ライブラリは、コロン2つの並び(::)をディレクトリ区切り文字に変換する仕様を持つ。このため「..::」という文字列がパス検査をすり抜け、アプリケーションサーバー内部のファイルを読み出せてしまうという[3]。Jiraを、アトラシアンのID・シングルサインオン(SSO)ハブ製品「Crowd」と連携させた環境では、研究者らが設定ファイル「crowd.properties」を読み出し、平文で記録されたアプリケーションパスワードを入手。「jira-administrators」グループへのユーザー作成まで成功した[3]。 ## 露出サーバーは6~7桁、最初の攻撃は2時間後 watchTowr Labsは、簡単な検索でConfluenceのインスタンスだけでも70万件弱が見つかったことから、露出するサーバーの規模を「6~7桁」とみている[3]。セキュリティ監視企業のPrevidianは、[自社のハニーポットが日本と米国の3つのIPアドレスから計15回の攻撃試行を記録した](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/)と明らかにした。記録は、概念実証(PoC)コードの公開から2時間後に始まっていた[4][5]。watchTowr自身の総括はもっと率直だ。アトラシアンは「自社のシステムをオンプレミスで動かしている私たち残り全員を罰している」[3]という。 ## 悪用されているのは、再評価が置き去りにした層 アトラシアンのセキュリティ勧告には、強気筋が引用したくなる一文が載っている。影響を受けたクラウド製品は「修正済みであり、当社の調査では悪用の証拠は確認されていない。クラウド顧客による対応は不要」[2]とする。同月には、[Bitbucket CloudがアトラシアンのMCPサーバーを通じてOAuthによりAIアシスタントに開放された](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp)。MCPサーバーはモデル・コンテキスト・プロトコル(MCP)の接続機能で、エージェントが既存の権限のままプルリクエストやコミットを管理できるようになる[6]。 このエージェント向けクラウドこそ、市場が保有しているアトラシアンだ。株価は120日間で200%超の急伸となり、[時価総額は約520億ドル、直近12カ月売上高の約8倍](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/)に達した[7]。 *Chart: **売上高の伸びは4~6月期に前年比27.6%へ再加速** アトラシアンの四半期別売上高を示す折れ線グラフ。売上高は2024年1~3月期の11.9億ドルから2026年4~6月期の17.7億ドルへ増加。最終四半期には、2024年1~3月期以来初めて営業利益率がプラスとなったことを示す注記が付く。* *アトラシアンが米証券取引委員会(SEC)へ提出した資料に基づく四半期別売上高(10億ドル単位)。ラベルは暦ベースの四半期のため、「26年4~6月期」は会計年度上の第4四半期(2026年6月終了)に当たる。 [8]* ## 27.6%増収、2024年初頭以来初の営業黒字 再評価を支える4~6月期の決算は、公表された事実そのものだ。[売上高は17億6600万ドルで前年比27.6%増](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372)。GAAP(米国会計基準)ベースの営業利益率は2024年1~3月期以来初めてプラスに転じた[8]。クラウド売上高は31%増の12億1000万ドルだった[7]。脆弱性が潜むのは別の領域、すなわち大企業や政府機関のオンプレミス環境だ。アトラシアンはこの10年、[「Ascend to the Atlassian cloud」という呼びかけ](https://investors.atlassian.com/)のもとで、この顧客層をサブスクリプションへ移してきた[9]。 *Chart: **4~6月期の営業利益率11.9%は2024年1~3月期以来初のプラス** アトラシアンの四半期別GAAP営業利益率を示す折れ線グラフ。2024年4~6月期から2026年1~3月期まではマイナスが続き、2026年4~6月期にプラス11.9%へ跳ね上がった。* *アトラシアンが米証券取引委員会(SEC)へ提出した資料に基づく、売上高に対するGAAP営業利益率の割合(暦四半期別)。ラベルは暦ベースの四半期のため、「26年4~6月期」は会計年度上の第4四半期(2026年6月終了)に当たる。 [8]* ## 修正版は出そろい、強気筋の見方にも裏付け 8製品すべてで修正済みバージョンは出ており、watchTowr自身も、CrowdでIPアドレス許可リストを設定すれば最悪の攻撃チェーンの威力はそがれると指摘する[2][3]。最高経営責任者(CEO)のマイク・キャノンブロークス氏は最大2億5000万ドルの自社株購入を約束し、[バンク・オブ・アメリカ](https://theinference.org/markets/companies/bank-of-america)は目標株価175ドルとして投資判断を「買い」に引き上げ、アトラシアンを「AIの犠牲者ではなく恩恵を受ける側」と評した[7]。この脆弱性のせいで政府機関や企業がデータセンター(Data Center)から離れる動きを測る公開情報はまだない。現れるまで、このCVEは修正コストと契約更新期の論点にとどまり、売上高を左右する項目ではない。 ## 11月5日に答えが出るのは別の問い 米株TEAMは10月16日に207.82ドルで終え、当日比4.3%安だった。この下落をCVE-2026-21589によるものと結びつける記録は、本稿にはない[9]。2026年11月5日には2027会計年度第1四半期の決算が発表される。通期ガイダンスではサブスクリプションARR(年間経常収益)の成長率が18%で、再評価を牽引した31%のクラウド増収とは対照をなす[7]。連邦政府機関の期限は明日まで。11月5日に答えが出る市場の問いは、この2つの伸び率のどちらが本当のランレート(実力値)なのか、である。 ## Takeaway 米サイバーセキュリティ・インフラセキュリティ庁(CISA)の10月18日期限が対象とするのはアトラシアンのセルフホスト型だけ。時価総額520億ドルへの再評価を支えるクラウドは対応不要で、AI成長ストーリーが持つかどうかは11月5日に試される。 ## Sources 1. [CISA, Known Exploited Vulnerabilities Catalog entry for CVE-2026-21589, added 15 October 2026](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589) 2. [Atlassian Security Advisory, CVE-2026-21589 Arbitrary File Access Vulnerability impacts Multiple Products, 5 October 2026](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html) 3. [watchTowr Labs, You Won't Hear About These, Even In Myths (Atlassian Jira, Confluence and more pre-auth arbitrary file read, CVE-2026-21589), 6 October 2026](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) 4. [SecurityAffairs, U.S. CISA adds Atlassian flaw to its Known Exploited Vulnerabilities catalog, 16 October 2026](https://securityaffairs.com/201086/hacking/u-s-cisa-adds-atlassian-flaw-to-its-known-exploited-vulnerabilities-catalog.html) 5. [BleepingComputer, Hackers exploit critical Atlassian flaw after public PoC release, 7 October 2026](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/) 6. [Atlassian blog, Connect Bitbucket Cloud to your AI tools with Atlassian MCP, October 2026](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp) 7. [Ainvest, The AI Narrative at Atlassian Has Flipped. Whether It Holds Depends on What the AI Actually Earns, 17 October 2026](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/) 8. [Atlassian, quarterly figures from its SEC filings, retrieved 17 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372) 9. [Atlassian Investor Relations, stock quote and cloud migration pages, retrieved 17 October 2026](https://investors.atlassian.com/) --- 米政府機関、アトラシアンの悪用済み脆弱性を10月18日までに修正へ クラウド版は対応不要 — The Inference. Canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/ja