企業向けソフトを手がけるアトラシアンの主要製品に、認証なしでサーバー内のファイルを読み取られる重大な脆弱性（欠陥、CVE-2026-21589）が見つかりました。攻撃手法を示す「実証コード」が公開されてからわずか2時間後には実際の攻撃が確認されており、同社は利用企業に速やかな更新を呼びかけています。
広く使われる8製品に影響
影響を受けるのは、プロジェクト管理の「ジラ（Jira）」、情報共有の「コンフルエンス（Confluence）」、ソース管理の「ビットバケット（Bitbucket）」など、自社のサーバーで運用するデータセンター版の計8製品です。これらは世界中の企業で広く使われており、日本の大手企業でも導入例の多い製品群です。
認証不要でファイルを盗み見
この脆弱性は、攻撃者がログイン（認証）なしに、ファイルの名前と場所さえ分かればサーバー上のファイルを読み取れるというものです。セキュリティ企業watchTowr（ウォッチタワー）は、ジラ・コンフルエンス・ビットバケットでファイルの読み取りが可能だと確認しました。設定によっては、管理者アカウントを不正に作られ乗っ取られる恐れもあります。
修正プログラムの即時適用を
アトラシアンは週明けに注意喚起を出し、個々の利用環境が侵入されたかどうかは同社では判断できないと警告しました。専門家は、修正プログラム（パッチ）の即時適用に加え、すぐに対応できない場合は外部からの接続を制限するなどの応急措置を推奨しています。公開済みの実証コードを悪用した攻撃は、特定の3つのIPアドレスから確認されています。
日本への影響
ジラやコンフルエンスは、日本のIT企業やソフトウェア開発の現場で定番として使われており、今回の脆弱性は多くの日本企業に直接関わる問題です。とくに自社のサーバーで運用するデータセンター版を使う企業は、攻撃者に設計書やソースコード、認証情報といった機密ファイルを盗み見られる恐れがあり、速やかな対応が欠かせません。実証コードの公開から2時間で攻撃が始まったという事実は、「あとで対応すればよい」という先延ばしがいかに危険かを示しています。情報システム部門は、該当製品を使っているかをただちに確認し、修正プログラムの適用か、それが難しければ外部ネットワークからのアクセス遮断を急ぐ必要があります。日本ではサイバー攻撃による情報流出が相次いでおり、政府も企業に防御の強化を求めています。取引先を踏み台にした攻撃も増えているため、自社だけでなく委託先やグループ会社の対応状況まで確認することが求められます。
まとめ：攻撃者は弱点が公になった瞬間から動き出します。使っているソフトの更新情報に、日ごろから目を配っておきたいですね。
出典：
BleepingComputer – Hackers exploit critical Atlassian flaw after public PoC release
