لماذا هذه الثغرة خطيرة
CVE-2026-21589 ثغرة path traversal تُستغَل عبر تسلسل النقطتين المضاعَفتين (::) في مسارات طلبات HTTP. يستطيع مهاجم يصل إلى نسختك عبر الشبكة — دون أي اعتماديات — قراءة ملفات عشوائية من جذر الويب الخاص بالتطبيق. قد تشمل هذه الملفات إعدادات حساسة أو رموز داخلية لم تكن مُخصَّصة للوصول العام.
درجة CVSS v4.0 البالغة 9.3 تعكس ثلاثة عوامل: لا مصادقة مطلوبة، لا تفاعل من المستخدم، وتأثير واسع على كامل عائلة المنتجات. أكدت Atlassian الرقعة في 5 أكتوبر 2026. حسابات Atlassian السحابية غير متأثرة؛ هذا الإشعار خاص بنشرات Data Center الذاتية فقط.
المنتجات والإصدارات المتأثرة
- Confluence Data Center — جميع الإصدارات قبل 9.2.26 (سطر LTS) و10.2.19 (السطر الحالي)
- Jira Software Data Center — جميع الإصدارات قبل 9.12.40 (LTS) أو 10.3.26 أو 11.3.12
- Jira Service Management Data Center — جميع الإصدارات قبل 5.12.40 (LTS) أو 10.3.26 أو 11.3.12
- Bitbucket Data Center — راجع الإشعار الرسمي على advisories.atlassian.com للإصدار المُصلَح
- Bamboo Data Center — راجع الإشعار الرسمي
- Crowd — راجع الإشعار الرسمي
- Crucible / Fisheye — راجع الإشعار الرسمي
- Atlassian Cloud — غير متأثر
متطلبات ما قبل التحديث
قبل تطبيق أي رقعة، أجرِ نسخًا احتياطيًا كاملًا لقاعدة البيانات ودليل الملفات الرئيسي. بالنسبة لـ Confluence، هذا يعني قاعدة البيانات ودليل confluence.home (المرفقات والإضافات والإعدادات)؛ أما Jira، فيشمل قاعدة البيانات وjira.home. تحقق من صلاحية النسخة الاحتياطية قبل المتابعة.
تحقق من أنك على مسار ترقية مدعوم. تنشر Atlassian مصفوفات الترقية؛ قد يكون الانتقال من إصدار قديم جدًا إلى الإصدار المُصلَح الحديث في خطوة واحدة غير مدعوم ويستلزم خطوة وسيطة. استخدم أداة Atlassian Upgrade Path Checker على my.atlassian.com قبل البدء.
تأكد من توفر مساحة كافية على القرص: يفك المُثبِّت ضغط توزيعة كاملة بجانب النسخة الجارية. للتوزيعات الكبيرة من Confluence، احرص على توفر 10 غيغابايت على الأقل على وحدة تخزين التثبيت.
التحقق من الإصدار وتطبيق الرقعة
تحديد إصدارك الحالي
في Confluence، انتقل إلى الإدارة → الإعدادات العامة → حول Confluence أو اقرأ المفتاح
atlassian.versionمنconfluence.home/confluence.cfg.xml. في Jira، اذهب إلى الإدارة → النظام → معلومات النظام وابحث عن حقل Build، أو نفّذgrep -m1 'version' /opt/atlassian/jira/atlassian-jira/META-INF/MANIFEST.MFعلى المضيف.تنزيل المُثبِّت المُصلَح
أحضر المُثبِّت المرقَّع من مركز التنزيل الرسمي لـ Atlassian على
www.atlassian.com/software/confluence/download-archives(لـ Confluence) أو الصفحة المقابلة لمنتجك. تحقق من مجموع SHA-256 مقابل القيمة المنشورة على صفحة التنزيل قبل تشغيل أي شيء.تمكين وضع الصيانة
في Confluence DC: اذهب إلى الإدارة → الصيانة وفعّل وضع الصيانة. في Jira DC، الخيار المماثل تحت الإدارة → النظام → الصيانة. انتظر حتى تنتهي الجلسات النشطة.
إيقاف الخدمة
نفّذ
sudo systemctl stop confluence(أوjira). تأكد من توقف العملية: يجب أن يعودss -tlnp | grep 8090بدون نتائج.تشغيل المُثبِّت أو فك ضغط الأرشيف
إذا كنت تستخدم مُثبِّت
.bin، اجعله قابلاً للتنفيذ بـchmod +x atlassian-confluence-9.2.26-x64.binونفّذه كـ root. اختر Upgrade عند الطلب.إعادة التشغيل والتحقق
ابدأ الخدمة بـ
sudo systemctl start confluenceوتابع السجلات:tail -f /opt/atlassian/confluence/logs/atlassian-confluence.log. انتظر سطرServer startup in، ثم تحقق من رقم الإصدار في واجهة الإدارة.لمجموعات Data Center: نشر العُقَد واحدةً تلو الأخرى
في بيئة الكتلة، أزل عقدةً من موازن الحمل، طبّق عليها الرقعة وأعد تشغيلها، وانتظر حتى تعود إلى الحالة السليمة في لوحة التحكم قبل المتابعة إلى العقدة التالية. يمنع هذا الأسلوب انقطاع الخدمة تمامًا ويتيح لك التراجع إذا ظهرت مشكلة غير متوقعة. لا تطبّق الرقعة على عقدتين في الوقت ذاته؛ يجب أن تكون الكتلة صحية في كل خطوة.
اختبار الوظائف الأساسية والتحقق من السجلات
بعد اكتمال التحديث، أجرِ اختبار دخان: أنشئ صفحةً في Confluence أو تذكرةً في Jira وتحقق من أن العمليات الأساسية تعمل بشكل صحيح. راجع سجلات التطبيق وتأكد من عدم ظهور أخطاء
ClassNotFoundExceptionأوPathTraversalDetected. رقعة CVE-2026-21589 تسدّ ثغرة path traversal؛ إذا ظهر خطأ عند الإقلاع فهذا يشير إلى تثبيت غير مكتمل. تحقق أيضًا من رقم الإصدار في واجهة الإدارة للتأكد من أنه يعرض الإصدار المُصلَح.
حل مؤقت إذا تعذّر التطبيق الفوري للرقعة
إذا تعذّر تطبيق الرقعة الآن، قيّد الوصول الخارجي للنسخة بالكامل خلف reverse proxy وحصر الوصول بنطاقات IP المعروفة. يمكنك في nginx إضافة كتلة location ترفض الطلبات المحتوية على تسلسل النقطتين المضاعَفتين: if ($request_uri ~* '::') { return 403; }. هذا إجراء وقائي وليس إصلاحاً حقيقياً. لا تعتمد عليه كحل دائم. كما يُشير إشعار Atlassian صراحةً إلى أن التصفية على مستوى الشبكة ليست بديلاً كافياً للرقعة.
التحقق من أن نسختك لم تعد عُرضة للثغرة
بعد التطبيق، تأكد من أن الإصدار في واجهة الإدارة يطابق الإصدار المُصلَح. يمكنك إجراء فحص أساسي بإرسال طلب مُصاغ والتحقق من أنه يُعيد 400 أو 403 بدلاً من محتوى ملف. مسار آمن للاختبار: http://your-domain.com/confluence/setup/::WEB-INF/web.xml — النسخة المُصلَحة تُعيد خطأً؛ النسخة المعيبة تُعيد الملف.
راجع سجلات التطبيق أيضاً بحثاً عن أنماط الوصول الحاملة لـ ::: grep '::' /opt/atlassian/confluence/logs/access.log. أي نتيجة قبل تاريخ التطبيق تستوجب مراجعة أمنية معمّقة.
تدابير وقائية طويلة الأمد
تطبيق رقعة CVE-2026-21589 يعالج الخطر الآني، لكن الدرس الأشمل يتعلق بسطح التعرض. تقييد المنافذ الخارجية بقواعد ufw صارمة، وتشغيل التطبيق خلف nginx كـ reverse proxy لتطبيع المسارات، وأتمتة فحص الثغرات باستخدام trivy أو grype، والاشتراك في خلاصة RSS على advisories.atlassian.com — كل هذه الخطوات تُقلل جذرياً من سطح الهجوم. احتفظ دائماً بإجراء rollback مُختبَر: لقطة قرص VPS قبل كل تحديث أو نسخة احتياطية مُتحقَّق منها لقاعدة البيانات.
الإصدارات المتأثرة مقابل الإصدارات المُصلَحة
مرّر الجدول أفقيًا
| المنتج | الإصدارات المتأثرة | الإصدار المُصلَح |
|---|---|---|
| Confluence Data Center | جميع الإصدارات < 9.2.26 (LTS) أو < 10.2.19 | 9.2.26 (LTS) · 10.2.19 |
| Jira Software Data Center | جميع الإصدارات < 9.12.40 (LTS)، < 10.3.26 أو < 11.3.12 | 9.12.40 (LTS) · 10.3.26 · 11.3.12 |
| Jira Service Management DC | جميع الإصدارات < 5.12.40 (LTS)، < 10.3.26 أو < 11.3.12 | 5.12.40 (LTS) · 10.3.26 · 11.3.12 |
خلاصة
CVE-2026-21589 من أخطر ثغرات Atlassian في السنوات الأخيرة: لا مصادقة، تغطية كاملة لعائلة المنتجات، ودرجة CVSS 9.3. تطبيق الرقعة واضح ومباشر، والإصدارات المُصلَحة متاحة الآن. إذا كنت تشغّل أدوات Atlassian على VPS وتبحث عن بيئة تتضمن جداراً نارياً مُهيَّأً ولقطات تلقائية وإعداد reverse proxy، فإن VPS المُدار من ServOrbit مُصمَّم لهذا التحميل تحديداً.
