# Báo động đỏ CVE-2026-21589: Lỗ hổng CVSS 9.3 đe dọa "trục xương sống" Atlassian của doanh nghiệp

## **Giới Thiệu Về Atlassian**

### **Tổng quan về Atlassian**

- **Atlassian** là một công ty phần mềm doanh nghiệp hàng đầu thế giới được thành lập tại Úc. Công ty chuyên cung cấp các công cụ hỗ trợ làm việc nhóm, theo dõi tiến độ dự án, phát triển phần mềm và quản lý dịch vụ CNTT.
- Các sản phẩm của Atlassian được thiết kế để liên kết chặt chẽ với nhau, giúp các đội ngũ từ kỹ thuật (lập trình, IT) đến kinh doanh (nhân sự, marketing) phối hợp công việc một cách liền mạch, minh bạch và hiệu quả.

### **Các sản phẩm và dịch vụ chính của Atlassian**

- **Jira Software:** Là công cụ quản lý dự án và theo dõi lỗi (issue tracking) phổ biến nhất hiện nay. Hỗ trợ các phương pháp làm việc Agile (Scrum, Kanban), giúp các đội ngũ lập kế hoạch, phân chia công việc và theo dõi tiến độ phát hành sản phẩm.
- **Confluence:** Là không gian làm việc số và quản lý tri thức nội bộ (wiki doanh nghiệp). Cho phép các thành viên cùng nhau tạo, lưu trữ và chia sẻ tài liệu dự án, sơ đồ kỹ thuật và quy trình làm việc.
- **Bitbucket:** Là dịch vụ lưu trữ và quản lý mã nguồn dựa trên Git dành cho các nhóm lập trình. Tích hợp sâu với Jira để tự động cập nhật trạng thái công việc khi có thay đổi trong mã nguồn.
- **Jira Service Management (JSM):** Là nền tảng quản lý dịch vụ CNTT (ITSM) và bàn hỗ trợ (Helpdesk). Cho phép tiếp nhận, xử lý sự cố, yêu cầu kỹ thuật và hỗ trợ khách hàng một cách chuyên nghiệp.
- **Trello:** Là công cụ quản lý công việc trực quan dạng bảng kéo-thả (Kanban board). Thích hợp cho các cá nhân hoặc nhóm nhỏ cần quản lý công việc hàng ngày một cách đơn giản, nhanh chóng.
- **Bamboo:** Là máy chủ tự động hóa việc đóng gói và kiểm thử phần mềm (CI/CD), giúp chuyển đổi mã nguồn từ các lập trình viên thành các bản dựng sẵn sàng triển khai.
- **Atlassian Crowd:** Là giải pháp quản lý danh tính và đăng nhập một lần (SSO) trên máy chủ nội bộ, cho phép nhân viên chỉ cần dùng một tài khoản duy nhất để đăng nhập vào Jira, Confluence và Bitbucket.

### **Các mô hình triển khai của Atlassian**

- **Atlassian Cloud:** Là phiên bản phần mềm dạng dịch vụ (SaaS) được lưu trữ và vận hành trực tiếp trên hạ tầng đám mây của Atlassian. Người dùng chỉ cần đăng ký là có thể sử dụng ngay, tự động cập nhật tính năng mới mà không cần cài đặt hay bảo trì máy chủ.
- **Atlassian Data Center:** Là phiên bản dành cho các doanh nghiệp lớn cần cài đặt trên hệ thống máy chủ riêng (on-premises hoặc private cloud). Cung cấp khả năng mở rộng cụm máy chủ (clustering), đảm bảo tính sẵn sàng cao, hiệu năng ổn định và toàn quyền kiểm soát về an toàn dữ liệu.

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/a7c2c4f0-38b6-4ff4-bbfe-badf97102db1.png align="center")

## **Bối Cảnh Kỹ Thuật Cà Các Phiên Bản Bị Ảnh Hưởng**

Ngày 05/10/2026, Atlassian phát hành bản tin bảo mật khẩn cấp cảnh báo về lỗ hổng Arbitrary File Access mang mã định danh CVE-2026-21589.

- **CVE ID:** CVE-2026-21589
- **CVSS v4.0 Score:** 9.3 (Critical)
- **CVSS Vector:** `CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H` (Theo đánh giá chính thức của Atlassian)
- **CWE:** CWE-22 (Improper Limitation of a Pathname to a Restricted Directory) / CWE-23 (Relative Path Traversal)
- **Attack Vector:** Mạng (Network), không yêu cầu đặc quyền (`PR:N`), không cần tương tác người dùng (`UI:N`), độ phức tạp khai thác thấp (`AC:L`).

Lỗ hổng ảnh hưởng đến toàn bộ phiên bản phát hành trước các bản vá tương ứng trên 8 sản phẩm Data Center:

| **Sản phẩm** | **Phiên bản ảnh hưởng** | **Phiên bản đã vá (Fixed LTS)** |
| :-- | :-- | :-- |
| **Bitbucket Data Center** | Toàn bộ phiên bản trước bản vá | **9.4.26**, **10.2.8**, **10.5.1** |
| **Confluence Data Center** | Toàn bộ phiên bản trước bản vá | **9.2.26**, **10.2.19** |
| **Jira Software Data Center** | Toàn bộ phiên bản trước bản vá | **9.12.40**, **10.3.26**, **11.3.12** |
| **Jira Service Management Data Center** | Toàn bộ phiên bản trước bản vá | **5.12.40**, **10.3.26**, **11.3.12** |
| **Bamboo Data Center** | Toàn bộ phiên bản trước bản vá | **10.2.24**, **12.1.12** |
| **Crowd Data Center** | Toàn bộ phiên bản trước bản vá | **6.3.7**, **7.0.3**, **7.1.7**, **7.2.4** |
| **Crucible** | Toàn bộ phiên bản trước bản vá | **4.9.15** |
| **Fisheye** | Toàn bộ phiên bản trước bản vá | **4.9.15** |

## **Phân Tích Lỗ Hổng**

Việc một lỗ hổng xuất hiện đồng thời trên cả 8 sản phẩm cốt lõi của Atlassian phản ánh sự tồn tại của một thành phần mã nguồn dùng chung bị lỗi. Quá trình đối soát nhị phân (binary diffing) giữa bản cài đặt có lỗ hổng và bản vá đã khoanh vùng chính xác thành phần gây lỗi nằm trong thư viện: `atlassian-plugins-webresource*.jar`

Cụ thể, việc so sánh giữa `atlassian-plugins-webresource-6.0.7.jar` và `atlassian-plugins-webresource-6.0.8.jar` làm lộ diện căn nguyên kỹ thuật của phương thức khai thác.

### **Căn nguyên lỗi tại lớp Router: Bypass qua ký tự** `::`

Bên trong gói [`com.atlassian.plugin.webresource.impl.http.Router.java`](http://com.atlassian.plugin.webresource.impl.http.Router.java), Atlassian định nghĩa các hàm xử lý định tuyến tài nguyên web. Đáng chú ý là phương thức chuyển đổi đường dẫn:

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/8de9329e-f261-4c18-b899-d18e055bfe41.png align="center")

Hàm `unescapeSlashes` thay thế toàn bộ chuỗi hai dấu hai chấm `::` thành dấu gạch chéo `/`. Đây là cơ chế nội bộ được thiết kế nhằm phục vụ việc serialize/deserialize URL tài nguyên mà không làm xung đột với cấu trúc đường dẫn URL HTTP chuẩn.

Tuy nhiên, cơ chế này vô tình mở ra một lỗ hổng Path Traversal nghiêm trọng. Khi kẻ tấn công gửi chuỗi ký tự dạng `..::..::..::`, toàn bộ các cơ chế kiểm tra bảo mật ở tầng biên (WAF, Reverse Proxy, Servlet Filter) chỉ tìm kiếm chuỗi duyệt thư mục truyền thống (`../`, `..\`, `%2e%2e%2f`). Khi truy vấn vượt qua tầng kiểm tra biên và đi vào bộ định tuyến [`Router.java`](http://Router.java), hàm `unescapeSlashes` mới được kích hoạt, chuyển đổi `..::` thành `../` ngay trước khi tài nguyên được đọc từ đĩa cứng.

### **Luồng gọi hàm và Sink đọc tài nguyên**

Trong [`Router.java`](http://Router.java), các route phục vụ tài nguyên tĩnh được khai báo như sau:

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/fd6521d8-59f7-43b4-9aa4-d72de066161b.png align="center")

Sau khi giải mã dấu gạch chéo, hàm chuyển tiếp xử lý đến [`com.atlassian.plugin.webresource.impl.helpers.ResourceServingHelpers.java`](http://com.atlassian.plugin.webresource.impl.helpers.ResourceServingHelpers.java). Tại đây, phương thức `getResourceRelativeToWebResource()` được gọi:

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/8d450527-dd53-4767-b8fc-462fe9d06ec1.png align="center")

Dù đã được đánh dấu `@Deprecated`, hàm này vẫn được kích hoạt trong luồng thực thi mặc định. Phương thức `createResourceWithRelativePath()` trực tiếp nhận giá trị `filePath` chứa đường dẫn tương đối đã bị kẻ tấn công can thiệp, sau đó đọc nội dung tệp tin từ hệ thống tệp cục bộ mà không có kiểm tra path containment (kiểm tra giới hạn thư mục gốc).

### **Điểm kích hoạt (Trigger Point) trên các sản phẩm**

Để kích hoạt luồng đọc file, kẻ tấn công cần nhắm vào một plugin module có tài nguyên kết thúc bằng dấu gạch chéo `/` trong tệp cấu hình plugin (cho phép ghép tiếp tên tệp tùy ý).

Trong `jira-webresources-plugin.jar`, điểm kích hoạt xuất hiện tại tài nguyên popup chọn màu:

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/4cfefa14-c1ac-4ca8-9d56-8458ccfcfa15.png align="center")

Bằng cách nhắm vào endpoint tương ứng kết hợp với chuỗi traversal `..::`, kẻ tấn công có thể truy xuất tệp cấu hình ứng dụng `web.xml`:

`GET /download/resources/jira.webresources:color-picker-popup/images/..::..::..::..::..::WEB-INF::web.xml HTTP/1.1`

`Host:` [`jira.victim.com`](http://jira.victim.com)

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/7f29e2e6-95f8-4904-9e0d-c0c581d27fb8.png align="center")

Máy chủ phản hồi nội dung nguyên bản của tệp:

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/7218c0d3-0a6f-46e9-91e5-8aceec78351e.png align="center")

Mẫu truy vấn tương tự cũng hoạt động trên các sản phẩm khác:

- **Confluence:** `GET /s/1/_/download/resources/com.atlassian.confluence.plugins.dashboard-actions/images/..::..::..::..::..::..::..::..::WEB-INF::web.xml HTTP/1.1`
- **Bitbucket:** `GET /s/1.0/_/download/resources/com.atlassian.bitbucket.server.bitbucket-webpack-INTERNAL:avatar/avatar/..::..::..::..::..::WEB-INF::urlrewrite.xml HTTP/1.1`

Do hạn chế của ngữ cảnh Tomcat Container, chuỗi traversal này không thể thoát ra ngoài hệ điều hành (không đọc được `/etc/shadow` hay `C:\Windows\System32`), đồng thời không hỗ trợ liệt kê danh mục thư mục (directory enumeration). Tuy nhiên, khả năng đọc bất kỳ tệp tin nào trong `WEB-INF/` đã đủ để tạo tiền đề cho một cuộc tấn công thâu tóm hệ thống.

### **Chuỗi leo thang đặc quyền: Từ File Read đến Jira Administrator qua Crowd**

Mức độ nguy hiểm thực sự của CVE-2026-21589 bộc lộ rõ nhất trong các doanh nghiệp sử dụng Atlassian Crowd làm máy chủ định danh tập trung (SSO/IAM) cho toàn bộ hạ tầng Atlassian.

Khi Jira được cấu hình kết nối với Crowd, thông tin xác thực ứng dụng được lưu trực tiếp tại tệp: `WEB-INF/classes/`[`crowd.properties`](http://crowd.properties)

Khai thác lỗ hổng để đọc tệp tin này:

`GET /download/resources/jira.webresources:color-picker-popup/images/..::..::..::..::..::WEB-INF::classes::crowd.properties HTTP/1.1 Host:` [`jira.victim.com`](http://jira.victim.com)

Kết quả trả về chứa thông tin xác thực ứng dụng ở dạng bản rõ:

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/0c85bbfb-a067-4a7f-a3fb-148800ebda9b.png align="center")

Nắm được [`application.name`](http://application.name) và `application.password`, kẻ tấn công xác thực trực tiếp với Crowd REST API với quyền hạn của chính ứng dụng Jira. Từ đây, tin tặc thực hiện chuỗi hai bước để tạo cửa sau hoàn chỉnh:

**Bước 1: Tạo tài khoản người dùng mới trên Crowd:**

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/c5d7dd25-5ad7-4bb6-82b5-f465e4876a96.png align="center")

**Bước 2: Gán người dùng vào nhóm quản trị viên tối cao:**

![](https://cdn.hashnode.com/uploads/covers/6777abffdb647396c7d71de4/f32f2829-f361-4cd7-a208-6bdaab4b33fd.png align="center")

Sau bước này, kẻ tấn công quay lại giao diện đăng nhập web của Jira, đăng nhập bằng tài khoản `backdoor_admin` và nắm toàn bộ quyền kiểm soát cao nhất (Jira Administrator), cho phép cài đặt các plugin độc hại nhằm đạt được Remote Code Execution (RCE) trên máy chủ.

## **Ghi Nhận Khai Thác Thực Tế Và Tình Trạng PoC**

Theo bản tin phát hành ngày 05/10/2026 của Atlassian, hãng chưa ghi nhận các vụ tấn công khai thác diện rộng nhằm vào khách hàng Cloud tại thời điểm phát hành bản vá. Tuy nhiên, tính chất nguy hiểm của lỗ hổng đã thu hút sự chú ý đặc biệt từ giới nghiên cứu bảo mật và các nhóm đe dọa.

- **Tình trạng PoC:** Ngày 06/10/2026, đội ngũ nghiên cứu watchTowr Labs đã công bố bài phân tích chi tiết kèm mã nguồn công cụ rà quét (Detection Artefact Generator - DAG) trên GitHub (`watchTowrlabs/watchTowr-vs-Atlassian-CVE-2026-21589`). Công cụ này tự động gửi payload thăm dò đến cả 3 mục tiêu Jira, Confluence và Bitbucket.
- **Vũ khí hóa mã khai thác:** Mã khai thác hoàn chỉnh từ đọc file đến tạo tài khoản Jira Administrator qua Crowd đã được trình diễn chi tiết. Do tính chất pre-auth và payload đơn giản, nguy cơ lỗ hổng bị tự động hóa đưa vào các botnet rà quét diện rộng là tức thì.

## **MITRE ATT&CK**

Chuỗi tấn công hoàn chỉnh kết hợp giữa việc khai thác lỗ hổng web và lạm dụng API quản trị định danh được ánh xạ cụ thể theo chuẩn MITRE ATT&CK:

| **Giai đoạn (Tactic)** | **Kỹ thuật (Technique)** | **Mã định danh** | **Mô tả chi tiết hành vi** |
| :-- | :-- | :-- | :-- |
| **Initial Access** | Exploit Public-Facing Application | **T1190** | Khai thác lỗ hổng duyệt file `..::` qua webresource endpoint không cần đăng nhập. |
| **Credential Access** | Unsecured Credentials: Credentials in Files | **T1552.001** | Trích xuất mật khẩu bản rõ của ứng dụng từ file `WEB-INF/classes/`[`crowd.properties`](http://crowd.properties). |
| **Persistence** | Create Account: Cloud / Enterprise Accounts | **T1136.003** | Sử dụng Crowd REST API để tạo tài khoản người dùng backdoor mới trên thư mục tập trung. |
| **Privilege Escalation** | Valid Accounts: Cloud / Enterprise Accounts | **T1078.004** | Đưa tài khoản mới tạo vào nhóm quản trị viên `jira-administrators` để chiếm toàn quyền ứng dụng. |

## **Phương Thức Phát hiện Và Biện Pháp Phòng Thủ**

Để bảo vệ hệ thống trước khi hoàn tất cập nhật phiên bản, đội ngũ vận hành cần kết hợp các biện pháp giám sát log, áp dụng quy tắc lọc tại WAF và cấu hình chặn tại tầng máy chủ ứng dụng.

**Logic phát hiện trên Access Log máy chủ Web / Reverse Proxy**

Kẻ tấn công có thể sử dụng nhiều lớp mã hóa URL để né tránh phát hiện (ví dụ: `%3a%3a` thay cho `::`, hoặc double URL encoding `%253a%253a`). Do đó, quy trình phân tích log cần tiến hành URL-decode tối thiểu hai lần trước khi so khớp chuỗi.

**Dấu hiệu nhận diện trên log:**

- Truy vấn nhắm vào các đường dẫn tài nguyên:
  - `/download/resources/`
  - `/s/*/_/download/resources/`
- Chứa các chuỗi ký tự sau:
  - `::` đi liền với `..` (ví dụ: `..::` hoặc `::..`)
  - `..` nằm liền kề với `/`, `\`, hoặc `::`
  - Tên tệp tin nhạy cảm: `web.xml`, [`crowd.properties`](http://crowd.properties), `urlrewrite.xml`, [`database.properties`](http://database.properties)

### **Cấu hình WAF ngăn chặn khẩn cấp**

Atlassian khuyến nghị cấu hình quy tắc regex trên thiết bị tường lửa ứng dụng web (Cloudflare, AWS WAF, F5 BIG-IP, Nginx):

`(?is).*(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2})(?:\.|%(?:25)*2e){2}(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2}|;|%(?:25)*3b|$).*`

### **Giải pháp giảm thiểu tạm thời (Workaround khi chưa thể patch)**

Nếu chưa thể sắp xếp downtime để nâng cấp phiên bản ngay, quản trị viên bắt buộc phải cấu hình bộ lọc trên máy chủ ứng dụng:

1. **Sử dụng Apache Tomcat RewriteValve (Cho Jira, Confluence, Bamboo, Crowd):**

- Mở tệp tin `conf/server.xml` (trên Confluence, Jira, Bamboo) hoặc `apache-tomcat/conf/server.xml` (trên Crowd).
- Thêm cấu hình Valve bên trong thẻ `<Host name="localhost" ...>`: `<Valve className="org.apache.catalina.valves.rewrite.RewriteValve" />`
- Tạo hoặc chỉnh sửa tệp `conf/Catalina/localhost/rewrite.config:`

  `RewriteCond %{REQUEST_URI} ^.(..::|::..).$ [NC,OR]\ RewriteCond %{REQUEST_URI} ^.WEB-INF.$ [NC]\ RewriteRule ^.*$ - [F]`
- Khởi động lại dịch vụ trên từng node trong cụm cluster.

2. Sử dụng urlrewrite.xml (Dành riêng cho Bitbucket Data Center):

- Mở tệp cấu hình URL rewrite của Bitbucket và bổ sung rule chặn các truy vấn chứa chuỗi ::.

3. Giới hạn truy cập mạng (Network ACL) cho Atlassian Crow

## **Nhận Định Chuyên Gia**

Điểm CVSS v4.0 đạt 9.3 phản ánh rất chính xác mức độ nguy hại của CVE-2026-21589. Dù chỉ là một lỗi Arbitrary File Access và bị giới hạn trong phạm vi container ứng dụng, sự tồn tại của các tệp tin cấu hình chứa mật khẩu bản rõ của các thành phần tích hợp (như Atlassian Crowd) đã biến một lỗi đọc file thành bàn đạp leo thang đặc quyền toàn diện.

Tại Việt Nam, các sản phẩm Atlassian Data Center như Jira, Confluence và Bitbucket đóng vai trò là "trục xương sống" trong hoạt động phát triển phần mềm, quản lý dự án và lưu trữ tài liệu kỹ thuật của hầu hết các ngân hàng, tổ chức tài chính, doanh nghiệp viễn thông và các tập đoàn công nghệ lớn. Khảo sát thực tế từ các hoạt động giám sát an toàn thông tin cho thấy, nhiều tổ chức đang public trực tiếp giao diện Jira Service Management (để tiếp nhận yêu cầu hỗ trợ khách hàng) hoặc cổng Confluence ra Internet. Đây là bề mặt tấn công cực kỳ béo bở.

Xét về mặt xu hướng tấn công, CVE-2026-21589 cho thấy một bước tiến mới trong kỹ thuật vượt rào:

1. **Sử dụng ký tự phân cách phi truyền thống:** Thay vì sử dụng dấu gạch chéo tiêu chuẩn, việc ứng dụng tự biến đổi chuỗi `::` thành dấu phân cách thư mục làm vô hiệu hóa hàng loạt chữ ký WAF dựa trên danh sách đen truyền thống.
2. **Khai thác kiến trúc tích hợp nội bộ:** Tin tặc hiện đại không chỉ tìm kiếm RCE trực tiếp qua deserialization hay injection, mà tập trung khai thác điểm yếu trong kiến trúc xác thực liên ứng dụng (Identity Brokerage). Việc [`crowd.properties`](http://crowd.properties) lưu mật khẩu không mã hóa là một món hời lớn cho bất kỳ chuỗi tấn công nào có được quyền đọc file.

## **Khuyến Nghị Hành Động**

### **Immediate (0 - 24 giờ)**

- **Kiểm tra phơi nhiễm:** Rà soát toàn bộ các máy chủ Atlassian đang có giao diện mở ra Internet. Nếu không bắt buộc phục vụ công cộng, hãy đưa ngay hệ thống về sau mạng nội bộ hoặc qua cổng VPN/ZTNA.
- **Áp dụng bộ lọc WAF khẩn cấp:** Đưa regex chặn chuỗi `::` và `..` vào hệ thống tường lửa web trước khi thực hiện cập nhật mã nguồn.
- **Rà soát tự động:** Sử dụng công cụ DAG nội bộ để kiểm tra xem các phiên bản Jira, Confluence, Bitbucket hiện tại có phản hồi với payload thử nghiệm hay không.

### **Short-term (1 - 7 ngày)**

- **Nâng cấp bản vá chính thức:** Lên kế hoạch bảo trì và cập nhật toàn bộ cụm máy chủ Data Center lên các phiên bản cố định đã vá (Jira 9.12.40 / 10.3.26 / 11.3.12; Confluence 9.2.26 / 10.2.19; Bitbucket 9.4.26 / 10.2.8 / 10.5.1...).
- **Khóa chặt cổng Atlassian Crowd:** Cấu hình Access Control List (ACL) nghiêm ngặt tại switch/firewall nội bộ, chỉ cho phép địa chỉ IP cụ thể của máy chủ Jira/Confluence được phép kết nối đến cổng 8095 của Crowd.
- **Rà quét dấu vết xâm phạm (Threat Hunting):** Kiểm tra lại toàn bộ access log trong 60 ngày gần nhất để phát hiện các request thăm dò chứa chuỗi `..::` hoặc truy cập bất thường vào [`crowd.properties`](http://crowd.properties). Đồng thời rà soát danh sách tài khoản thuộc nhóm `jira-administrators` trên cả Jira và Crowd để phát hiện các tài khoản lạ được tạo gần đây.

### **Long-term**

- **Quản lý mật khẩu cấu hình an toàn:** Tránh lưu mật khẩu dạng bản rõ trong các tệp properties; áp dụng giải pháp lưu trữ bí mật tập trung (như HashiCorp Vault) hoặc các module bảo mật hỗ trợ mã hóa credential khi tích hợp.
- **Giám sát tính toàn vẹn tệp tin (FIM):** Thiết lập các công cụ EDR/FIM để giám sát chặt chẽ mọi hành vi ghi hoặc sửa đổi tệp tin trong thư mục `WEB-INF/` và thư mục cài đặt của Tomcat.
- **Chuyển dịch sang kiến trúc Zero Trust (ZTNA):** Hạn chế tối đa việc mở trực tiếp các công cụ cộng tác nội bộ (như Jira/Confluence/Bitbucket) ra Internet công cộng, thay thế bằng các giải pháp truy cập dựa trên danh tính và xác thực đa yếu tố (MFA).

## **Tài Liệu Tham Khảo**

[CVE-2026-21589: Critical Atlassian File Access Flaw](https://socprime.com/blog/cve-2026-21589-critical-atlassian-vulnerability-exposes-sensitive-files-across-eight-products/)

[You Won’t Hear About These, Even In Myths (Atlassian Jira, Confluence (and more) Pre-Auth Arbitrary File Read CVE-2026-21589)](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/)

[CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products | Atlassian Support | Atlassian Documentation](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html?ref=labs.watchtowr.com)

[CVE-2026-21589: Critical Pre-Authentication File Read Affects Atlassian Data Center Products | Imperva](https://www.imperva.com/blog/cve-2026-21589-critical-pre-authentication-file-read-affects-atlassian-data-center-products/)