企業向けソフトウエア大手アトラシアンの主力製品群に、深刻な脆弱性（ソフトの弱点）が見つかりました。「CVE-2026-21589」と名付けられたこの欠陥は、危険度を示すCVSS（共通脆弱性評価システム）で10点満点中9.3点の「緊急」と評価されています。認証なしでサーバー内のファイルを読み取られる恐れがあり、攻撃コードの公開からわずか2時間で実際の悪用が確認されました。管理者には早急な更新が呼びかけられています。
8つの主力製品が対象
影響を受けるのは、自社運用型（データセンター版）のビットバケット、コンフルエンス、ジラ・ソフトウエア、ジラ・サービスマネジメント、バンブー、クラウド、クルーシブル、フィッシュアイの8製品です。開発や課題管理に広く使われており、企業の情報基盤の中核を担うツールが軒並み対象となりました。なお、クラウド版はすでに修正済みで、利用者側の対応は不要とされています。
認証情報を抜き取られる恐れ
この欠陥は、攻撃者がファイルの名前と場所さえ分かれば、認証を経ずにサーバー内のファイルを読み取れるというものです。セキュリティ企業ウォッチタワーの検証では、「クラウド」と連携したジラ環境で設定ファイルから平文の認証情報を抜き取り、管理者アカウントを不正に作成できることが示されました。企業の重要システムが丸ごと乗っ取られかねない、極めて危険な手口です。
公開直後から悪用が拡大
セキュリティ企業プレビディアンの観測によると、ウォッチタワーが技術情報と実証コード（PoC）を公開してからわずか2時間で、攻撃の試みが検知されました。その後、脆弱性を探す走査ツールも出回っています。アトラシアンは修正版を公開済みで、直ちに更新するか、更新までの間は外部ネットワークからの接続を遮断するなどの緩和策を講じるよう求めています。
日本への影響
アトラシアン製品は日本の多くの企業でも開発現場や社内の課題管理に導入されており、今回の欠陥は決して対岸の火事ではありません。自社でサーバーを運用している企業は、ジラやコンフルエンスのバージョンを直ちに確認し、修正版への更新を急ぐ必要があります。更新がすぐにできない場合は、該当システムをインターネットから切り離すか、ウェブアプリケーションファイアウオール（WAF）で不正な通信を遮断する対応が求められます。攻撃者は認証情報を足がかりに社内ネットワークへ侵入を広げる恐れがあり、ひとたび管理者権限を奪われれば顧客情報や開発中のソースコードが流出しかねません。情報システム部門は、自社だけでなく委託先や取引先の運用状況まで含めて点検し、被害の連鎖を防ぐことが急務です。
まとめ：攻撃は公開から数時間で始まりました。「あとで対応」では間に合いません。今すぐ更新の確認を。
