Het kritieke Atlassian-lek CVE-2026-21589 wordt actief misbruikt, nadat beveiligingsbedrijf watchTowr eerder deze week een proof-of-concept-exploit en technische details publiceerde. Beveiliger Previdian zag op zijn honeypot-netwerk binnen twee uur na die publicatie de eerste aanvallen binnenkomen, zoals we eerder meldden over deze kwetsbaarheid in acht Atlassian-producten.
De kwetsbaarheid, een path traversal-fout met een CVSS v4.0-score van 9,3, treft Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible en Fisheye in zelf-gehoste Data Center-installaties. Previdian registreerde aanvallen vanaf onder meer de IP-adressen 38.60.157[.]86, 146.70.187[.]234 en 159.26.119[.]225. In installaties waarbij Crowd als identity provider is gekoppeld, lezen aanvallers het bestand WEB-INF/classes/crowd.properties uit en halen daar onversleutelde applicatie-inloggegevens uit. Die gebruiken ze vervolgens om nieuwe beheerdersaccounts aan te maken.
Het Nederlandse NCSC publiceerde destijds ook al een eigen advies over deze kwetsbaarheid, nog voordat er bevestigd misbruik was. Dat scenario is nu realiteit. watchTowr biedt inmiddels een gratis scanner aan waarmee organisaties kunnen controleren of hun installatie kwetsbaar is.
Voor organisaties die nog niet hebben gepatcht, is uitstel geen optie meer. Installeer de patch voor de eigen productversie, beperk externe toegang tot deze acht producten waar dat kan, en richt bij Crowd-integraties extra aandacht op het beschermen of roteren van de inloggegevens in crowd.properties. Een WAF-regel tegen path-traversal-patronen helpt als tijdelijke maatregel, maar vervangt de patch niet.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Patchen van CVE-2026-21589 heeft nu extra urgentie: er is een publieke PoC-exploit en binnen twee uur na publicatie werd al actief misbruik vastgesteld. Controleer vooral Crowd-integraties, waar aanvallers via crowd.properties beheerdersaccounts kunnen aanmaken, en overweeg die inloggegevens te roteren.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.