---
title: "미 연방기관, 악용 중인 아틀라시안 취약점 18일까지 패치…클라우드 제품은 조치 불필요"
description: "미 연방기관은 10월 18일까지 CVE-2026-21589를 패치해야 한다. 취약점은 자체 구축형(온프레미스) 제품, 즉 아틀라시안이 지난 10년간 클라우드로 옮기려고 밀어붙인 바로 그 버전에만 존재한다. 520억 달러로 재평가받는 아틀라시안은 다른 쪽에 있다."
publisher: "The Inference"
section: "Safety"
published: 2026-10-17T17:05:38.296Z
modified: 2026-10-17T17:05:38.296Z
canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/ko
language: ko
keywords: "Atlassian, Cybersecurity, Vulnerabilities, Cloud Computing, CISA"
---

# 미 연방기관, 악용 중인 아틀라시안 취약점 18일까지 패치…클라우드 제품은 조치 불필요

> 미 연방기관은 10월 18일까지 CVE-2026-21589를 패치해야 한다. 취약점은 자체 구축형(온프레미스) 제품, 즉 아틀라시안이 지난 10년간 클라우드로 옮기려고 밀어붙인 바로 그 버전에만 존재한다. 520억 달러로 재평가받는 아틀라시안은 다른 쪽에 있다.

미국 사이버보안·인프라보안국(CISA)은 2026년 10월 15일 CVE-2026-21589를 [알려진 악용 취약점(KEV) 카탈로그](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589)에 등재했다. 이 목록에 오르면 연방기관은 정해진 기한 안에 패치해야 한다[1]. 이번 건의 기한은 10월 18일, 바로 내일이다[1].

## CVSS 9.3점 '파일 읽기' 취약점, 패치 기한은 내일

지라·컨플루언스·비트버킷을 만드는 [아틀라시안](https://theinference.org/markets/companies/atlassian)은 10월 5일 [보안 권고문을 공개했다](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html). 취약점 등급은 '치명적(Critical)', 10점 만점 CVSS 심각도 지수로는 9.3점이다. 정확한 경로만 알면 인증을 거치지 않은 공격자도 서버 웹 루트 안의 파일을 읽을 수 있다[2]. 자체 구축형 데이터센터(Data Center) 제품 8종은 패치 버전보다 낮은 모든 버전이 영향권이다. 비트버킷과 컨플루언스, 지라 2종, Bamboo, Crowd, Crucible, Fisheye가 그 대상이다[2].

## 파일 읽기 취약점, 어떻게 관리자 권한으로 이어지나

공격 기법 중심의 보안 연구업체 watchTowr Labs가 [10월 6일 기술 분석을 공개했다](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/)[3]. 아틀라시안 웹 리소스 코드의 공유 라이브러리가 더블콜론(::) 연속 문자열을 디렉터리 구분자로 바꿔준다. 그 탓에 '..::' 문자열은 경로 검증을 비켜 가고 애플리케이션 서버 내부의 파일까지 읽어낸다[3]. 연구진은 아틀라시안의 인증·통합로그인(SSO) 허브인 Crowd와 연동된 지라 환경에서 crowd.properties 파일을 읽어 평문으로 저장된 애플리케이션 비밀번호를 빼낸 뒤 jira-administrators 그룹에 사용자 계정을 만들었다[3].

## 노출 서버 십만~수백만 대…PoC 공개 두 시간 만에 첫 공격

watchTowr는 이번에 노출된 서버 규모를 '십만~수백만 대 수준'으로 잡았다. 컨플루언스 인스턴스만 간단히 검색해도 70만 개에 살짝 못 미치는 수가 나왔기 때문이다[3]. 보안 모니터링 업체 프레비디언(Previdian)은 [허니팟(honeypot)에 일본과 미국 IP 주소 3곳에서 걸려온 공격 시도 15건이 기록됐다](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/)고 밝혔다. 공격은 PoC가 공개된 지 두 시간 만에 시작됐다[4][5]. watchTowr의 자체 요약은 더 노골적이었다. 아틀라시안이 "자사 시스템을 온프레미스로 돌리는 죄로 나머지 우리를 벌주고 있다"는 것이다[3].

## 재평가가 잊은 상품군에서 공격이 터졌다

아틀라시안의 보안 권고문에는 강세론자라면 인용하고 싶어 할 문장이 고스란히 실려 있다. 영향을 받는 클라우드 제품은 "이미 패치를 마쳤으며 조사에서 악용 증거는 발견하지 못했다. 클라우드 고객이 취해야 할 조치는 없다"[2]는 것이다. 같은 달 비트버킷 클라우드는 [OAuth 방식으로 AI 어시스턴트에 문을 열었다](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp). 통로는 아틀라시안의 MCP 서버, 즉 모델 컨텍스트 프로토콜(Model Context Protocol) 커넥터다. 덕분에 에이전트가 기존 권한 범위 안에서 풀 리퀘스트와 커밋을 관리할 수 있게 됐다[6].

에이전트를 향해 열린 이 클라우드가 바로 시장이 보유한 아틀라시안이다. 주가는 120일 만에 200%를 넘게 뛰었고, 시가총액은 [약 520억 달러로 최근 12개월 기준 매출의 대략 8배 수준](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/)이다[7].

*Chart: **매출 성장률, 6월 분기에 전년비 27.6%로 재가속** 아틀라시안의 분기 매출이 2024년 1분기 11억9000만 달러에서 2026년 2분기 17억7000만 달러로 상승하는 라인 차트. 마지막 분기에는 2024년 1분기 이후 첫 플러스 영업이익률로 표기돼 있다.*

*아틀라시안의 SEC 제출 서류 기준 분기 매출(단위: 십억 달러). 축 표기는 캘린더 기준 분기이며, 2026년 2분기는 6월에 마감하는 회계연도 4분기에 해당한다. [8]*

## 매출 27.6% 증가…2024년 초 이후 첫 영업흑자

재평가의 재료가 된 6월 분기 실적은 이미 보도된 사실이다. [매출은 전년비 27.6% 늘어난 17억6600만 달러](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372)였고, 미국 일반회계기준(GAAP) 영업이익률은 2024년 3월 분기 이후 처음으로 플러스로 돌아섰다 [8]. 클라우드 매출은 31% 증가한 12억1000만 달러였다 [7]. 정작 취약점은 다른 곳에 있다. 대기업과 공공기관이 온프레미스로 돌리는 설치본이 그 대상이다. 아틀라시안은 지난 10년간 ['아틀라시안 클라우드로 오르기(Ascend to the Atlassian cloud)'](https://investors.atlassian.com/)라는 구호 아래 이 제품군을 구독 모델로 끌어왔다 [9].

*Chart: **6월 분기 영업이익률 11.9%…2024년 1분기 이후 첫 플러스** 아틀라시안의 GAAP 영업이익률을 분기별로 보여주는 라인 차트. 2024년 2분기부터 2026년 1분기까지 마이너스를 기록하다 2026년 2분기에 플러스 11.9%로 뛰어올랐다.*

*아틀라시안의 SEC 제출 서류 기준 매출 대비 GAAP 영업이익률(캘린더 분기). 축 표기는 캘린더 기준 분기이며, 2026년 2분기는 6월에 마감하는 회계연도 4분기에 해당한다. [8]*

## 패치는 이미 나와 있다…강세론에도 '증거'가 있다

8개 제품 모두 수정 버전이 나와 있다. 가장 위험한 공격 체인 역시 Crowd의 IP 허용 목록 설정이 위력을 떨어뜨린다는 점은 watchTowr 스스로 짚었다 [2][3]. 마이크 캐논브룩스 최고경영자(CEO)는 자사주를 최대 2억5000만 달러어치 사들이겠다고 약속했다. [뱅크오브아메리카(Bank of America)](https://theinference.org/markets/companies/bank-of-america)는 투자의견을 '매수'로 상향하고 목표주가를 175달러로 제시하면서 아틀라시안을 'AI 피해자가 아니라 AI 수혜자'라고 평가했다 [7]. 이번 취약점 때문에 데이터센터(Data Center) 제품을 떠나는 기관이나 기업의 규모를 보여주는 공개 자료는 아직 없다. 그런 자료가 나오기 전까지 이번 CVE는 패치 비용이자 계약 갱신기의 논거일 뿐, 매출 계정에 오르는 항목이 아니다.

## 11월 5일이 답할 것은 다른 질문

아틀라시안(티커 TEAM) 주가는 10월 16일 207.82달러로 마감해 하루 4.3% 하락했다. 다만 본지는 이 하락을 이번 취약점 탓으로 돌리지 않는다 [9]. 2027 회계연도 1분기 실적은 2026년 11월 5일 발표된다. 이번 회계연도 구독 연간반복매출(ARR) 성장률 가이던스는 18%로, 재평가를 이끈 클라우드 성장률 31%와 대비된다 [7]. 미 연방기관의 시한은 내일까지다. 시장의 질문은 11월 5일 답을 얻는다. 두 성장률 가운데 어느 쪽이 러닝레이트(run rate)로 판명되느냐다.

## Takeaway

CISA가 정한 10월 18일 기한은 아틀라시안의 자체 구축형 제품에만 적용된다. 520억 달러 재평가를 이끈 클라우드 제품은 조치가 필요 없다. 11월 5일은 AI 성장 스토리가 유효한지 가려지는 날이다.

## Sources

1. [CISA, Known Exploited Vulnerabilities Catalog entry for CVE-2026-21589, added 15 October 2026](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589)
2. [Atlassian Security Advisory, CVE-2026-21589 Arbitrary File Access Vulnerability impacts Multiple Products, 5 October 2026](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html)
3. [watchTowr Labs, You Won't Hear About These, Even In Myths (Atlassian Jira, Confluence and more pre-auth arbitrary file read, CVE-2026-21589), 6 October 2026](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/)
4. [SecurityAffairs, U.S. CISA adds Atlassian flaw to its Known Exploited Vulnerabilities catalog, 16 October 2026](https://securityaffairs.com/201086/hacking/u-s-cisa-adds-atlassian-flaw-to-its-known-exploited-vulnerabilities-catalog.html)
5. [BleepingComputer, Hackers exploit critical Atlassian flaw after public PoC release, 7 October 2026](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/)
6. [Atlassian blog, Connect Bitbucket Cloud to your AI tools with Atlassian MCP, October 2026](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp)
7. [Ainvest, The AI Narrative at Atlassian Has Flipped. Whether It Holds Depends on What the AI Actually Earns, 17 October 2026](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/)
8. [Atlassian, quarterly figures from its SEC filings, retrieved 17 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372)
9. [Atlassian Investor Relations, stock quote and cloud migration pages, retrieved 17 October 2026](https://investors.atlassian.com/)


---

미 연방기관, 악용 중인 아틀라시안 취약점 18일까지 패치…클라우드 제품은 조치 불필요 — The Inference. Canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/ko