Ведомствам США велели закрыть эксплуатируемую уязвимость Atlassian до 18 октября; облачные версии трогать не нужно
Федеральные ведомства должны закрыть CVE-2026-21589 до 18 октября. Уязвимость существует только в локальных (on-premise) продуктах Atlassian — в том сегменте, который компания целое десятилетие пытается перевести в облако. Atlassian, переоценённый рынком до $52 млрд, — это уже другой сегмент.
Vincent Jiang · 3 min read
15 октября 2026 года Агентство США по кибербезопасности и защите инфраструктуры (CISA) внесло уязвимость CVE-2026-21589 в свой каталог активно эксплуатируемых уязвимостей — реестр, попадание в который обязывает федеральные ведомства закрыть уязвимость к установленной дате 1. В данном случае эта дата — 18 октября, то есть завтра 1.
Чтение файлов с оценкой 9,3 — патчить надо завтра
Atlassian−5.31% — Atlassian, down 5.31 percent today, разработчик Jira, Confluence и Bitbucket, опубликовала уведомление 5 октября. Уязвимость классифицирована как критическая — 9,3 балла по десятибалльной шкале CVSS — и позволяет неавторизованному злоумышленнику читать файлы в корневом каталоге веб-сервера, если известен точный путь к ним 2. Затронуты все версии ниже исправленных выпусков восьми продуктов Data Center для развёртывания на стороне заказчика, включая Bitbucket, Confluence, оба продукта Jira, Bamboo, Crowd, Crucible и Fisheye 2.
Как исследователи превратили чтение файлов в права администратора
watchTowr Labs, исследовательская компания в области наступательной безопасности (offensive security), опубликовала свой анализ 6 октября 3. Общая библиотека в коде веб-ресурсов Atlassian преобразует последовательности двойных двоеточий в разделители каталогов, поэтому строка ..:: проскальзывает мимо проверок пути и позволяет читать файлы внутри сервера приложений 3. В инсталляции Jira, связанной с Crowd — платформой Atlassian для управления идентификацией и единого входа, — исследователи прочитали файл crowd.properties, извлекли хранящийся в нём в открытом виде пароль приложения и создали пользователя в группе jira-administrators 3.
От сотен тысяч до миллионов открытых серверов — и первые атаки через два часа
В watchTowr оценили число открытых систем «от сотен тысяч до миллионов»: один быстрый поиск выявил почти 700 тыс. одних только инсталляций Confluence 3. Компания Previdian, специализирующаяся на мониторинге безопасности, сообщила, что её honeypot-ловушки зафиксировали 15 попыток атак с трёх IP-адресов в Японии и США — уже через два часа после публикации доказательства концепции (proof of concept) 45. Сама watchTowr подвела итог ещё жёстче: Atlassian «наказывает всех нас за то, что мы держим их системы on-premise» 3.
Взламывают именно тот сегмент, о котором переоценка забыла
В бюллетене Atlassian есть фраза, которую охотно процитируют быки: затронутые облачные продукты «уже пропатчены, и наше расследование не выявило признаков эксплуатации. Никаких действий со стороны облачных клиентов не требуется» 2. В том же месяце Bitbucket Cloud открылся для ИИ-ассистентов по OAuth через MCP-сервер Atlassian, коннектор на базе протокола Model Context Protocol, что позволяет агентам управлять пул-реквестами и коммитами в рамках существующих прав доступа 6.
Именно это открытое ИИ-агентам облако и есть тот Atlassian, которым владеет рынок: около $52 млрд, или примерно восемь выручек за последние 12 месяцев после роста акций более чем на 200% за 120 дней 7.
Годовой рост выручки вновь ускорился до 27,6% в июньском квартале
Data
| Выручка | |
|---|---|
| I кв. 24 | $1.19B |
| II кв. 24 | $1.13B |
| III кв. 24 | $1.19B |
| IV кв. 24 | $1.29B |
| I кв. 25 | $1.36B |
| II кв. 25 | $1.38B |
| III кв. 25 | $1.43B |
| IV кв. 25 | $1.59B |
| I кв. 26 | $1.79B |
| II кв. 26 | $1.77B |
Рост на 27,6% и первая операционная прибыль с начала 2024 года
Результаты июньского квартала, стоящие за переоценкой, — факт из отчётности: выручка $1,766 млрд, рост на 27,6% и первая с I квартала 2024 года положительная операционная рентабельность по GAAP 8. Выручка облачного сегмента выросла на 31%, до $1,21 млрд 7. Уязвимость же живёт в другом сегменте — в локальных инсталляциях у крупных корпораций и ведомств, который Atlassian целое десятилетие переводит на подписки в рамках своей программы «Ascend to the Atlassian cloud» 9.
Рентабельность 11,9% в июньском квартале — первая положительная с I квартала 2024 года
Data
| Операционная рентабельность | |
|---|---|
| III кв. 23 | -1.9% |
| IV кв. 23 | -4.6% |
| I кв. 24 | 1.5% |
| II кв. 24 | -5.9% |
| III кв. 24 | -2.7% |
| IV кв. 24 | -4.5% |
| I кв. 25 | -0.9% |
| II кв. 25 | -2.1% |
| III кв. 25 | -6.7% |
| IV кв. 25 | -3% |
| I кв. 26 | -3.1% |
| II кв. 26 | 11.9% |
Патчи выпущены, и у бычьего сценария есть подтверждения
Для всех восьми продуктов выпущены исправленные версии, а сама watchTowr отмечает, что разрешительный список IP-адресов в Crowd ослабляет самую опасную цепочку атаки 23. Гендиректор Майк Кэннон-Брукс обязался купить акции компании на сумму до $250 млн, а Bank of America−0.91% — Bank of America, down 0.91 percent today повысил рекомендацию до «покупать» с целевой ценой $175, назвав Atlassian «бенефициаром ИИ, а не его жертвой» 7. Публичных данных о том, что ведомства или корпорации уходят из Data Center из-за этой уязвимости, пока нет. Пока таких данных не появится, CVE — это затраты на патч и аргумент в сезон продления, а не строка выручки.
5 ноября — ответ на другой вопрос
16 октября акции TEAM закрылись на отметке $207,82, потеряв за день 4,3%; сам этот материал не связывает падение с CVE 9. Отчётность за I квартал 2027 финансового года выйдет 5 ноября 2026 года; прогноз роста ARR по подпискам (годовой повторяющейся выручки) на год — 18% против 31% роста облачного сегмента, который и обеспечил переоценку 7. Федеральным ведомствам нужно успеть до завтра; вопрос же рынка, на который 5 ноября будет дан ответ, — какой из двух темпов роста окажется устойчивым.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
