美国联邦机构须在10月18日前修补Atlassian已遭利用漏洞；云产品无需处理

2026年10月15日，美国网络安全和基础设施安全局（CISA）把CVE-2026-21589列入已知被利用漏洞目录↗（Known Exploited Vulnerabilities Catalog）——凡登上这份目录的漏洞，联邦机构都必须在规定日期前完成修复¹。这一次的期限是10月18日，也就是明天¹。

评分9.3分的文件读取漏洞，明天就是修补期限

Jira、Confluence和Bitbucket的开发商Atlassian▼−5.31% — Atlassian, down 5.31 percent today于10月5日发布安全通告↗：漏洞评级为“严重”（critical），在满分10分的CVSS严重性评分中拿到9.3分；攻击者无需通过身份验证，只要掌握确切路径，就能读取服务器Web根目录内的文件²。受影响的是八款自托管的数据中心版（Data Center）产品，低于已修复版本的所有版本全部中招，包括Bitbucket、Confluence、两款Jira产品、Bamboo、Crowd、Crucible和Fisheye²。

研究人员如何把文件读取变成管理员权限

攻击性安全研究机构watchTowr Labs于10月6日发布分析报告↗³。Atlassian Web资源代码中的一个共享库会把双冒号序列转换成目录分隔符，形如..::的字符串因此能越过路径校验，读取应用服务器内部的文件³。在对接了Crowd——Atlassian的身份认证与单点登录中心——的Jira部署环境中，研究人员读取了crowd.properties文件，取出其中的明文应用程序密码，并在jira-administrators组中新建了用户³。

暴露在外的服务器以六至七位数计，两小时后便出现首批攻击

watchTowr估算，暴露在外的服务器数量“在六至七位数之间”——一次快速检索就发现，仅Confluence实例便将近70万个³。安全监控公司Previdian表示，自公开概念验证（proof of concept）代码发布两小时后起，公司蜜罐共记录到15次攻击尝试，来自日本和美国的三个IP地址↗⁴⁵。watchTowr自己的总结则更直白：Atlassian是在“因为我们把他们的系统跑在本地而惩罚我们所有人”³。

遭利用的，恰是估值重估遗忘的那一档产品

Atlassian的安全通告里有这么一句话，看多者大可引用：受影响的云产品“均已完成修补，我们的调查未发现遭利用的证据。云客户无需采取任何行动”²。同月，Bitbucket Cloud通过Atlassian的MCP服务器、以OAuth方式向AI助手开放↗——这款模型上下文协议（Model Context Protocol）连接器让智能体得以在既有权限下管理拉取请求（pull request）和代码提交⁶。

市场持有的Atlassian，正是这个面向智能体的云：市值约520亿美元，约合过去12个月销售额的8倍↗——此前120天里股价累计上涨超过200%⁷。

营收增长27.6%，营业利润自2024年初以来首次转正

支撑这轮估值重估的6月当季业绩有据可查：营收17.66亿美元，同比增长27.6%↗；按美国通用会计准则（GAAP）计算的营业利润率，为2024年一季度以来首次转正⁸。云业务收入增长31%，至12.1亿美元⁷。漏洞却在别处——藏在大型企业和政府机构的本地部署系统里。十年来，Atlassian一直以“登临Atlassian云”（Ascend to the Atlassian cloud）↗为营销口号，力图将这一层级的客户迁往订阅制⁹。

补丁已出，看多者有实据在手

八款产品的修复版本均已发布，watchTowr自己也指出，对Crowd启用IP白名单，便可削弱最凶险的那条攻击链²³。首席执行官迈克·坎农-布鲁克斯已承诺至多增持2.5亿美元公司股票，美国银行▼−0.91% — 美国银行, down 0.91 percent today将评级上调至“买入”，目标价175美元，称Atlassian“是AI受益者，而非AI受害者”⁷。目前尚无公开数据能衡量有多少政府机构或企业因该漏洞弃用数据中心版（Data Center）。在此之前，这个CVE只是一笔补丁成本、续约季里的争议话题，还算不上一条营收科目。

11月5日回答的是另一个问题

TEAM 10月16日收报207.82美元，当日下跌4.3%——这一跌势，本文并未归因于该CVE⁹。Atlassian 2027财年第一季度财报定于2026年11月5日发布，公司对全年订阅ARR（年度经常性收入）增速的指引为18%，而推动这轮估值重估的云业务增速为31%⁷。联邦机构的期限就在明天；市场的问题——两个增速之中，哪一个才是公司真实的运行率——要到11月5日才有答案。