פרצת אפס חדשה באטלסיאן: שמונה מוצרי Data Center בסיכון לגניבת קבצים ללא התחברות

בתחילת השבוע פרסמה אטלסיאן התרעת אבטחה חירומית על פרצה קריטית שפוגעת בשמונה מהמוצרים הפופולריים ביותר שלה בגרסת Data Center - כלומר הגרסה המותקנת על שרתים של הארגון עצמו, לא בענן. מדובר בכלים שעומדים בבסיס העבודה היומיומית של צוותי פיתוח, IT וניהול פרויקטים באלפי ארגונים, וביניהם ג'ירה, קונפלואנס וביטבאקט. מה שהופך את הסיפור הזה לדחוף במיוחד הוא לא רק חומרת הפרצה, אלא המהירות שבה היא מנוצלת בפועל: תוך שעתיים בלבד מרגע שפורסמו פרטים טכניים, תוקפים כבר החלו לנסות לנצל אותה.

מה בדיוק התגלה

הפרצה, המכונה CVE-2026-21589, היא פגיעות מסוג "path traversal" - מצב שבו תוקף יכול לבקש מהשרת קובץ מתיקייה מסוימת, אבל באמצעות תמרון של נתיב הקובץ לגרום לשרת לחשוף קובץ אחר לגמרי, כזה שלא היה אמור להיות נגיש מבחוץ. הפגיעות קיבלה ציון חומרה של 9.3 מתוך 10, ומה שמדאיג יותר הוא שאין צורך להתחבר למערכת בכלל כדי לנצל אותה. התוקף רק צריך לדעת את שם הקובץ ואת מיקומו המדויק בתיקיית השורש של האפליקציה - ולא תמיד זה סוד שקשה לנחש, שכן מדובר בתוכנות עם מבנה קבצים סטנדרטי וידוע. הפרצה משפיעה על שמונה מוצרים: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible ו-Fisheye, כולם בגרסאות Data Center ו-Server.

למה קצב התקיפות כל כך מדאיג

אטלסיאן פרסמה את ההתרעה והעדכון המתקן ב-5 באוקטובר, וכבר למחרת פורסם קוד ניצול (PoC) ברשת. התוצאה הייתה מיידית: תוקפים החלו לנסות לנצל את הפרצה תוך פחות משעתיים מהפרסום. עד יום לאחר מכן כבר נרשמו למעלה מ-150 ניסיונות ניצול, שמקורם ב-26 כתובות IP שונות בשמונה מדינות. קצב כזה מעיד על כך שגורמי תקיפה אוטומטיים סורקים כבר עכשיו את האינטרנט בחיפוש אחר שרתים פגיעים, בדיוק כפי שקרה בעבר בפרצות דומות בתוכנות שרת פופולריות. כל ארגון שמריץ אחד מהמוצרים הללו ולא טרם עדכן, נמצא למעשה בחלון זמן קריטי שבו הסיכוי להיפגע עולה משעה לשעה.

למי זה נוגע בישראל

חשוב להבהיר: לקוחות שמשתמשים בגרסת הענן של אטלסיאן (Atlassian Cloud) אינם נדרשים לפעולה - הפרצה רלוונטית רק למי שמריץ את התוכנה על שרתים משלו. בישראל זהו בדיוק הפרופיל של ארגונים רבים בתחומי ההייטק, הפיננסים, הבריאות והמגזר הציבורי, שבוחרים דווקא בגרסת ה-Data Center מטעמי ריבונות מידע, רגולציה או דרישות אבטחה פנימיות. אירוניה מסוימת טמונה בכך שהארגונים שבחרו להימנע מהענן כדי לשמור על שליטה מלאה בנתונים, הם אלה שחשופים כעת לפרצה שמאפשרת לגורם זר לקרוא קבצים מהשרת שלהם בלי אפילו להזדהות. צוותי פיתוח רבים גם מאחסנים בקבצי תצורה על אותם שרתים פרטי התחברות למסדי נתונים, מפתחות API וסודות נוספים - בדיוק סוג המידע שפרצה כזו עלולה לחשוף.

מה צריך לעשות עכשיו

ההמלצה הברורה של אטלסיאן היא לעדכן את כל המוצרים הרלוונטיים לגרסה המתוקנת באופן מיידי. ארגון שלא יכול לבצע עדכון מיידי, למשל בגלל תהליכי אישור פנימיים או תלות בגרסה ספציפית, מומלץ לפחות לחסום גישה חיצונית לשרתים הפגיעים עד להשלמת העדכון, ולבדוק ביומני הגישה (access logs) אם כבר נרשמו ניסיונות ניצול חשודים. כדאי גם לסקור אילו קבצים רגישים נמצאים בתיקיות שאליהן יש גישה דרך שרת האפליקציה, ולוודא שסודות כמו סיסמאות ומפתחות לא מאוחסנים שם ללא הצפנה. צוות ה-IT או ספק האבטחה המנוהל של הארגון אמורים כבר להיות מודעים לפרצה - אם לא, זה הזמן לשאול.

הסיפור הזה הוא תזכורת טובה לכך שתוכנות תשתית פנים-ארגוניות, כאלה שרצות "מתחת לרדאר" בלי קשר ישיר ללקוחות, הן יעד מועדף לתוקפים בדיוק בגלל שלעיתים קרובות הן מתעדכנות לאט יותר ממערכות פונות-לקוח. לעסקים שמריצים מוצרי אטלסיאן באופן עצמאי, הצעד הפרקטי הראשון של השבוע הוא פשוט: לבדוק אם העדכון כבר הותקן, ואם לא - להתקין אותו היום, לא בסוף החודש.