--- title: "Ведомствам США велели закрыть эксплуатируемую уязвимость Atlassian до 18 октября; облачные версии трогать не нужно" description: "Федеральные ведомства должны закрыть CVE-2026-21589 до 18 октября. Уязвимость существует только в локальных (on-premise) продуктах Atlassian — в том сегменте, который компания целое десятилетие пытается перевести в облако. Atlassian, переоценённый рынком до $52 млрд, — это уже другой сегмент." publisher: "The Inference" section: "Safety" published: 2026-10-17T17:05:38.296Z modified: 2026-10-17T17:05:38.296Z canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/ru language: ru keywords: "Atlassian, Cybersecurity, Vulnerabilities, Cloud Computing, CISA" --- # Ведомствам США велели закрыть эксплуатируемую уязвимость Atlassian до 18 октября; облачные версии трогать не нужно > Федеральные ведомства должны закрыть CVE-2026-21589 до 18 октября. Уязвимость существует только в локальных (on-premise) продуктах Atlassian — в том сегменте, который компания целое десятилетие пытается перевести в облако. Atlassian, переоценённый рынком до $52 млрд, — это уже другой сегмент. 15 октября 2026 года Агентство США по кибербезопасности и защите инфраструктуры (CISA) внесло уязвимость CVE-2026-21589 в свой [каталог активно эксплуатируемых уязвимостей](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589) — реестр, попадание в который обязывает федеральные ведомства закрыть уязвимость к установленной дате [1]. В данном случае эта дата — 18 октября, то есть завтра [1]. ## Чтение файлов с оценкой 9,3 — патчить надо завтра [Atlassian](https://theinference.org/markets/companies/atlassian), разработчик Jira, Confluence и Bitbucket, [опубликовала уведомление 5 октября](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html). Уязвимость классифицирована как критическая — 9,3 балла по десятибалльной шкале CVSS — и позволяет неавторизованному злоумышленнику читать файлы в корневом каталоге веб-сервера, если известен точный путь к ним [2]. Затронуты все версии ниже исправленных выпусков восьми продуктов Data Center для развёртывания на стороне заказчика, включая Bitbucket, Confluence, оба продукта Jira, Bamboo, Crowd, Crucible и Fisheye [2]. ## Как исследователи превратили чтение файлов в права администратора watchTowr Labs, исследовательская компания в области наступательной безопасности (offensive security), [опубликовала свой анализ 6 октября](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) [3]. Общая библиотека в коде веб-ресурсов Atlassian преобразует последовательности двойных двоеточий в разделители каталогов, поэтому строка ..:: проскальзывает мимо проверок пути и позволяет читать файлы внутри сервера приложений [3]. В инсталляции Jira, связанной с Crowd — платформой Atlassian для управления идентификацией и единого входа, — исследователи прочитали файл crowd.properties, извлекли хранящийся в нём в открытом виде пароль приложения и создали пользователя в группе jira-administrators [3]. ## От сотен тысяч до миллионов открытых серверов — и первые атаки через два часа В watchTowr оценили число открытых систем «от сотен тысяч до миллионов»: один быстрый поиск выявил почти 700 тыс. одних только инсталляций Confluence [3]. Компания Previdian, специализирующаяся на мониторинге безопасности, сообщила, что [её honeypot-ловушки зафиксировали 15 попыток атак с трёх IP-адресов в Японии и США](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/) — уже через два часа после публикации доказательства концепции (proof of concept) [4][5]. Сама watchTowr подвела итог ещё жёстче: Atlassian «наказывает всех нас за то, что мы держим их системы on-premise» [3]. ## Взламывают именно тот сегмент, о котором переоценка забыла В бюллетене Atlassian есть фраза, которую охотно процитируют быки: затронутые облачные продукты «уже пропатчены, и наше расследование не выявило признаков эксплуатации. Никаких действий со стороны облачных клиентов не требуется» [2]. В том же месяце [Bitbucket Cloud открылся для ИИ-ассистентов по OAuth через MCP-сервер Atlassian](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp), коннектор на базе протокола Model Context Protocol, что позволяет агентам управлять пул-реквестами и коммитами в рамках существующих прав доступа [6]. Именно это открытое ИИ-агентам облако и есть тот Atlassian, которым владеет рынок: [около $52 млрд, или примерно восемь выручек за последние 12 месяцев](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/) после роста акций более чем на 200% за 120 дней [7]. *Chart: **Годовой рост выручки вновь ускорился до 27,6% в июньском квартале** Линейный график поквартальной выручки Atlassian: рост с $1,19 млрд в I квартале 2024 года до $1,77 млрд во II квартале 2026 года; последний квартал отмечен как первая с I квартала 2024 года положительная операционная рентабельность.* *Поквартальная выручка, млрд долл., по отчётности Atlassian в SEC; подписи — календарные кварталы, поэтому II кв. 2026 года — это IV квартал 2026 финансового года, завершившийся в июне 2026 года. [8]* ## Рост на 27,6% и первая операционная прибыль с начала 2024 года Результаты июньского квартала, стоящие за переоценкой, — факт из отчётности: [выручка $1,766 млрд, рост на 27,6%](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372) и первая с I квартала 2024 года положительная операционная рентабельность по GAAP [8]. Выручка облачного сегмента выросла на 31%, до $1,21 млрд [7]. Уязвимость же живёт в другом сегменте — в локальных инсталляциях у крупных корпораций и ведомств, который Atlassian целое десятилетие переводит на подписки в рамках своей [программы «Ascend to the Atlassian cloud»](https://investors.atlassian.com/) [9]. *Chart: **Рентабельность 11,9% в июньском квартале — первая положительная с I квартала 2024 года** Линейный график операционной рентабельности Atlassian по GAAP по кварталам: отрицательная со II квартала 2024 года по I квартал 2026 года, затем скачок до положительных 11,9% во II квартале 2026 года.* *Операционная рентабельность по GAAP в процентах от выручки по календарным кварталам, по отчётности Atlassian в SEC; подписи — календарные кварталы, поэтому II кв. 2026 года — это IV квартал 2026 финансового года, завершившийся в июне 2026 года. [8]* ## Патчи выпущены, и у бычьего сценария есть подтверждения Для всех восьми продуктов выпущены исправленные версии, а сама watchTowr отмечает, что разрешительный список IP-адресов в Crowd ослабляет самую опасную цепочку атаки [2][3]. Гендиректор Майк Кэннон-Брукс обязался купить акции компании на сумму до $250 млн, а [Bank of America](https://theinference.org/markets/companies/bank-of-america) повысил рекомендацию до «покупать» с целевой ценой $175, назвав Atlassian «бенефициаром ИИ, а не его жертвой» [7]. Публичных данных о том, что ведомства или корпорации уходят из Data Center из-за этой уязвимости, пока нет. Пока таких данных не появится, CVE — это затраты на патч и аргумент в сезон продления, а не строка выручки. ## 5 ноября — ответ на другой вопрос 16 октября акции TEAM закрылись на отметке $207,82, потеряв за день 4,3%; сам этот материал не связывает падение с CVE [9]. Отчётность за I квартал 2027 финансового года выйдет 5 ноября 2026 года; прогноз роста ARR по подпискам (годовой повторяющейся выручки) на год — 18% против 31% роста облачного сегмента, который и обеспечил переоценку [7]. Федеральным ведомствам нужно успеть до завтра; вопрос же рынка, на который 5 ноября будет дан ответ, — какой из двух темпов роста окажется устойчивым. ## Takeaway Срок CISA — 18 октября — касается только локального сегмента Atlassian; облачный сегмент, стоящий за переоценкой на $52 млрд, никаких действий не требует, а 5 ноября станет проверкой истории роста на базе ИИ. ## Sources 1. [CISA, Known Exploited Vulnerabilities Catalog entry for CVE-2026-21589, added 15 October 2026](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589) 2. [Atlassian Security Advisory, CVE-2026-21589 Arbitrary File Access Vulnerability impacts Multiple Products, 5 October 2026](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html) 3. [watchTowr Labs, You Won't Hear About These, Even In Myths (Atlassian Jira, Confluence and more pre-auth arbitrary file read, CVE-2026-21589), 6 October 2026](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) 4. [SecurityAffairs, U.S. CISA adds Atlassian flaw to its Known Exploited Vulnerabilities catalog, 16 October 2026](https://securityaffairs.com/201086/hacking/u-s-cisa-adds-atlassian-flaw-to-its-known-exploited-vulnerabilities-catalog.html) 5. [BleepingComputer, Hackers exploit critical Atlassian flaw after public PoC release, 7 October 2026](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/) 6. [Atlassian blog, Connect Bitbucket Cloud to your AI tools with Atlassian MCP, October 2026](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp) 7. [Ainvest, The AI Narrative at Atlassian Has Flipped. Whether It Holds Depends on What the AI Actually Earns, 17 October 2026](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/) 8. [Atlassian, quarterly figures from its SEC filings, retrieved 17 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372) 9. [Atlassian Investor Relations, stock quote and cloud migration pages, retrieved 17 October 2026](https://investors.atlassian.com/) --- Ведомствам США велели закрыть эксплуатируемую уязвимость Atlassian до 18 октября; облачные версии трогать не нужно — The Inference. Canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/ru