미 연방기관, 악용 중인 아틀라시안 취약점 18일까지 패치…클라우드 제품은 조치 불필요
미 연방기관은 10월 18일까지 CVE-2026-21589를 패치해야 한다. 취약점은 자체 구축형(온프레미스) 제품, 즉 아틀라시안이 지난 10년간 클라우드로 옮기려고 밀어붙인 바로 그 버전에만 존재한다. 520억 달러로 재평가받는 아틀라시안은 다른 쪽에 있다.
Vincent Jiang · 3 min read
미국 사이버보안·인프라보안국(CISA)은 2026년 10월 15일 CVE-2026-21589를 알려진 악용 취약점(KEV) 카탈로그에 등재했다. 이 목록에 오르면 연방기관은 정해진 기한 안에 패치해야 한다1. 이번 건의 기한은 10월 18일, 바로 내일이다1.
CVSS 9.3점 '파일 읽기' 취약점, 패치 기한은 내일
지라·컨플루언스·비트버킷을 만드는 아틀라시안−5.31% — 아틀라시안, down 5.31 percent today은 10월 5일 보안 권고문을 공개했다. 취약점 등급은 '치명적(Critical)', 10점 만점 CVSS 심각도 지수로는 9.3점이다. 정확한 경로만 알면 인증을 거치지 않은 공격자도 서버 웹 루트 안의 파일을 읽을 수 있다2. 자체 구축형 데이터센터(Data Center) 제품 8종은 패치 버전보다 낮은 모든 버전이 영향권이다. 비트버킷과 컨플루언스, 지라 2종, Bamboo, Crowd, Crucible, Fisheye가 그 대상이다2.
파일 읽기 취약점, 어떻게 관리자 권한으로 이어지나
공격 기법 중심의 보안 연구업체 watchTowr Labs가 10월 6일 기술 분석을 공개했다3. 아틀라시안 웹 리소스 코드의 공유 라이브러리가 더블콜론(::) 연속 문자열을 디렉터리 구분자로 바꿔준다. 그 탓에 '..::' 문자열은 경로 검증을 비켜 가고 애플리케이션 서버 내부의 파일까지 읽어낸다3. 연구진은 아틀라시안의 인증·통합로그인(SSO) 허브인 Crowd와 연동된 지라 환경에서 crowd.properties 파일을 읽어 평문으로 저장된 애플리케이션 비밀번호를 빼낸 뒤 jira-administrators 그룹에 사용자 계정을 만들었다3.
노출 서버 십만~수백만 대…PoC 공개 두 시간 만에 첫 공격
watchTowr는 이번에 노출된 서버 규모를 '십만~수백만 대 수준'으로 잡았다. 컨플루언스 인스턴스만 간단히 검색해도 70만 개에 살짝 못 미치는 수가 나왔기 때문이다3. 보안 모니터링 업체 프레비디언(Previdian)은 허니팟(honeypot)에 일본과 미국 IP 주소 3곳에서 걸려온 공격 시도 15건이 기록됐다고 밝혔다. 공격은 PoC가 공개된 지 두 시간 만에 시작됐다45. watchTowr의 자체 요약은 더 노골적이었다. 아틀라시안이 "자사 시스템을 온프레미스로 돌리는 죄로 나머지 우리를 벌주고 있다"는 것이다3.
재평가가 잊은 상품군에서 공격이 터졌다
아틀라시안의 보안 권고문에는 강세론자라면 인용하고 싶어 할 문장이 고스란히 실려 있다. 영향을 받는 클라우드 제품은 "이미 패치를 마쳤으며 조사에서 악용 증거는 발견하지 못했다. 클라우드 고객이 취해야 할 조치는 없다"2는 것이다. 같은 달 비트버킷 클라우드는 OAuth 방식으로 AI 어시스턴트에 문을 열었다. 통로는 아틀라시안의 MCP 서버, 즉 모델 컨텍스트 프로토콜(Model Context Protocol) 커넥터다. 덕분에 에이전트가 기존 권한 범위 안에서 풀 리퀘스트와 커밋을 관리할 수 있게 됐다6.
에이전트를 향해 열린 이 클라우드가 바로 시장이 보유한 아틀라시안이다. 주가는 120일 만에 200%를 넘게 뛰었고, 시가총액은 약 520억 달러로 최근 12개월 기준 매출의 대략 8배 수준이다7.
매출 성장률, 6월 분기에 전년비 27.6%로 재가속
Data
| 매출 | |
|---|---|
| 2024년 1분기 | $1.19B |
| 2024년 2분기 | $1.13B |
| 2024년 3분기 | $1.19B |
| 2024년 4분기 | $1.29B |
| 2025년 1분기 | $1.36B |
| 2025년 2분기 | $1.38B |
| 2025년 3분기 | $1.43B |
| 2025년 4분기 | $1.59B |
| 2026년 1분기 | $1.79B |
| 2026년 2분기 | $1.77B |
매출 27.6% 증가…2024년 초 이후 첫 영업흑자
재평가의 재료가 된 6월 분기 실적은 이미 보도된 사실이다. 매출은 전년비 27.6% 늘어난 17억6600만 달러였고, 미국 일반회계기준(GAAP) 영업이익률은 2024년 3월 분기 이후 처음으로 플러스로 돌아섰다 8. 클라우드 매출은 31% 증가한 12억1000만 달러였다 7. 정작 취약점은 다른 곳에 있다. 대기업과 공공기관이 온프레미스로 돌리는 설치본이 그 대상이다. 아틀라시안은 지난 10년간 '아틀라시안 클라우드로 오르기(Ascend to the Atlassian cloud)'라는 구호 아래 이 제품군을 구독 모델로 끌어왔다 9.
6월 분기 영업이익률 11.9%…2024년 1분기 이후 첫 플러스
Data
| 영업이익률 | |
|---|---|
| 2023년 3분기 | -1.9% |
| 2023년 4분기 | -4.6% |
| 2024년 1분기 | 1.5% |
| 2024년 2분기 | -5.9% |
| 2024년 3분기 | -2.7% |
| 2024년 4분기 | -4.5% |
| 2025년 1분기 | -0.9% |
| 2025년 2분기 | -2.1% |
| 2025년 3분기 | -6.7% |
| 2025년 4분기 | -3% |
| 2026년 1분기 | -3.1% |
| 2026년 2분기 | 11.9% |
패치는 이미 나와 있다…강세론에도 '증거'가 있다
8개 제품 모두 수정 버전이 나와 있다. 가장 위험한 공격 체인 역시 Crowd의 IP 허용 목록 설정이 위력을 떨어뜨린다는 점은 watchTowr 스스로 짚었다 23. 마이크 캐논브룩스 최고경영자(CEO)는 자사주를 최대 2억5000만 달러어치 사들이겠다고 약속했다. 뱅크오브아메리카(Bank of America)−0.91% — 뱅크오브아메리카(Bank of America), down 0.91 percent today는 투자의견을 '매수'로 상향하고 목표주가를 175달러로 제시하면서 아틀라시안을 'AI 피해자가 아니라 AI 수혜자'라고 평가했다 7. 이번 취약점 때문에 데이터센터(Data Center) 제품을 떠나는 기관이나 기업의 규모를 보여주는 공개 자료는 아직 없다. 그런 자료가 나오기 전까지 이번 CVE는 패치 비용이자 계약 갱신기의 논거일 뿐, 매출 계정에 오르는 항목이 아니다.
11월 5일이 답할 것은 다른 질문
아틀라시안(티커 TEAM) 주가는 10월 16일 207.82달러로 마감해 하루 4.3% 하락했다. 다만 본지는 이 하락을 이번 취약점 탓으로 돌리지 않는다 9. 2027 회계연도 1분기 실적은 2026년 11월 5일 발표된다. 이번 회계연도 구독 연간반복매출(ARR) 성장률 가이던스는 18%로, 재평가를 이끈 클라우드 성장률 31%와 대비된다 7. 미 연방기관의 시한은 내일까지다. 시장의 질문은 11월 5일 답을 얻는다. 두 성장률 가운데 어느 쪽이 러닝레이트(run rate)로 판명되느냐다.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
