2026年10月15日に、CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）の既知の脆弱性カタログに追加されました。この脆弱性は、現在積極的に悪用されていることが確認されています。
製品/ベンダー：Atlassianの複数の製品
複数のAtlassian製品（Bitbucket Data Center、Confluence Data Center、Jira Service Management Data Center、Jira Software Data Center、Bamboo Data Center、Crowd Data Center、Crucible、Fisheye）には、外部の者がアクセスできるファイルまたはディレクトリの脆弱性が存在し、影響を受けるバージョンのウェブアプリケーションのルートディレクトリ内の特定のファイルに、認証されていない攻撃者がアクセスできる可能性があります。
必要な対応：ベンダーの指示に従って、緩和策を適用し、CISAのBOD 26-04「リスクに基づいたセキュリティアップデートの優先順位付け」（注釈のURLを参照）のガイダンスおよびCISAの「フォレンジック・トリアージ要件」（注釈のURLを参照）に準拠していることを確認してください。クラウドサービスの場合は、該当するBOD 26-04のガイダンスに従うか、緩和策が利用できない場合は、製品の使用を中止してください。関係者は、各資産のインターネットへの露出度を評価し、BOD 26-04のパッチ適用ガイドラインを遵守する責任があります。
期限：2026年10月18日
既知のランサムウェアキャンペーンでの使用状況：不明