[{"data":1,"prerenderedAt":181},["ShallowReactive",2],{"seo-verification":3,"blog-atlassian-cve-2026-21589-patch-jira-confluence-self-hosted-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-atlassian-cve-2026-21589-patch-jira-confluence-self-hosted-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":30,"ctaBody":30,"ctaButton":115,"ctaUrl":116,"relatedPosts":117},431,"atlassian-cve-2026-21589-patch-jira-confluence-self-hosted",{"fr":10,"en":12,"ar":13,"es":14},"cve-2026-21589-patch-atlassian-jira-confluence-self-hosted","cve-2026-21589-patch-atlassian-jira-confluence","cve-2026-21589-parche-atlassian-jira-confluence","CVE-2026-21589 : patcher Atlassian sans attendre","CVE-2026-21589 path traversal non authentifié (CVSS 9.3) sur Atlassian Data Center. Versions touchées, correctifs et contournement temporaire.",9,0,false,"2026-10-11T00:00:00+00:00","2026-10-13T14:10:28+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fatlassian-cve-2026-21589-patch-jira-confluence-self-hosted-poster.svg","Le 5 octobre 2026, Atlassian a publié un avis critique pour CVE-2026-21589, une faille de type path traversal notée CVSS v4.0 9.3. L'exploitation ne nécessite aucune authentification et touche toutes les éditions Data Center de Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible et Fisheye. Si votre instance est accessible depuis internet, le patch est la seule mitigation fiable.",[35,39,51,54,82,86,89,92,112],{"type":36,"title":37,"body":38},"h2","Pourquoi cette faille est sérieuse","CVE-2026-21589 est un path traversal déclenché par une séquence double-deux-points (`::`) dans les chemins de requêtes HTTP. Un attaquant qui peut atteindre votre instance sur le réseau — sans aucune authentification requise — peut lire des fichiers arbitraires depuis la racine web de l'application et ses sous-répertoires. Selon la disposition de votre déploiement, cela peut inclure des fichiers de configuration, des tokens internes ou des données en cache qui n'ont jamais été destinés à être accessibles publiquement.\n\nLe score CVSS v4.0 de 9.3 reflète trois facteurs cumulatifs : aucune authentification requise, aucune interaction utilisateur nécessaire, et un impact large sur toute la famille de produits. Atlassian a confirmé le patch le 5 octobre 2026. Au moment de la rédaction, du tooling de preuve de concept circule en privé ; l'exploitation publique est attendue dans les jours suivant la publication de l'avis, comme cela a été le cas pour les précédentes CVE critiques Atlassian.\n\nLes comptes Atlassian hébergés dans le cloud (Jira Cloud, Confluence Cloud) ne sont pas affectés — le patch a été appliqué automatiquement par Atlassian. Cet avis concerne uniquement les déploiements Data Center auto-hébergés.",{"type":40,"title":41,"items":42},"ul","Produits et versions touchés",[43,44,45,46,47,48,49,50],"**Confluence Data Center** — toutes les versions antérieures à 9.2.26 (ligne LTS) et 10.2.19 (ligne courante)","**Jira Software Data Center** — toutes les versions antérieures à 9.12.40 (LTS), 10.3.26 ou 11.3.12","**Jira Service Management Data Center** — toutes les versions antérieures à 5.12.40 (LTS), 10.3.26 ou 11.3.12","**Bitbucket Data Center** — consulter l'avis officiel sur advisories.atlassian.com pour la version fixée précise","**Bamboo Data Center** — consulter l'avis officiel","**Crowd** — consulter l'avis officiel","**Crucible \u002F Fisheye** — consulter l'avis officiel","**Atlassian Cloud** — non affecté",{"type":36,"title":52,"body":53},"Prérequis avant la mise à jour","Avant d'appliquer un patch, effectuez une sauvegarde complète de votre base de données et du répertoire home. Pour Confluence, cela signifie la base de données et le répertoire `confluence.home` (pièces jointes, plugins, configuration). Pour Jira, sauvegardez la base de données et `jira.home`. Vérifiez que la sauvegarde est lisible avant de continuer.\n\nVérifiez que vous êtes sur un chemin de mise à jour supporté. Atlassian publie des matrices de mise à jour ; passer d'une très ancienne version à une version fixe récente en une seule étape est parfois non supporté et nécessite une étape intermédiaire. Utilisez l'outil Atlassian Upgrade Path Checker sur my.atlassian.com avant de commencer.\n\nConfirmez que vous disposez d'assez d'espace disque : l'installeur décompresse une distribution complète aux côtés de l'instance en cours d'exécution. Pour les déploiements Confluence importants, prévoyez au moins 10 Go d'espace libre sur le volume d'installation.",{"type":55,"title":56,"steps":57},"steps","Vérifier votre version et appliquer le patch",[58,61,64,67,70,73,76,79],{"title":59,"body":60},"Identifier votre version actuelle","Pour Confluence, naviguez vers **Administration → Configuration générale → À propos de Confluence** ou lisez la clé `atlassian.version` dans `confluence.home\u002Fconfluence.cfg.xml`. Pour Jira, allez dans **Administration → Système → Informations système** et cherchez le champ Build, ou exécutez `grep -m1 'version' \u002Fopt\u002Fatlassian\u002Fjira\u002Fatlassian-jira\u002FMETA-INF\u002FMANIFEST.MF` sur l'hôte. Notez la chaîne de version exacte avant de continuer.",{"title":62,"body":63},"Télécharger l'installeur corrigé","Récupérez l'installeur patché depuis le centre de téléchargement officiel Atlassian sur `www.atlassian.com\u002Fsoftware\u002Fconfluence\u002Fdownload-archives` (Confluence) ou la page équivalente pour votre produit. Vérifiez le checksum SHA-256 par rapport à la valeur publiée sur la page de téléchargement avant d'exécuter quoi que ce soit. N'utilisez pas de miroirs tiers.",{"title":65,"body":66},"Activer le mode maintenance","Pour Confluence DC : allez dans **Administration → Maintenance** et activez le mode maintenance. Cela empêche les nouvelles sessions de démarrer pendant que les sessions actives se terminent. Pour Jira DC, l'option équivalente se trouve sous **Administration → Système → Maintenance**. Attendez que les sessions actives tombent à zéro ou acceptez une courte fenêtre d'interruption.",{"title":68,"body":69},"Arrêter le service applicatif","Exécutez `sudo systemctl stop confluence` (ou `jira`, selon votre configuration init). Confirmez que le processus n'écoute plus : `ss -tlnp | grep 8090` ne devrait rien retourner pour le port par défaut de Confluence. Si vous utilisez un port personnalisé, adaptez en conséquence.",{"title":71,"body":72},"Exécuter l'installeur ou décompresser l'archive","Si vous utilisez l'installeur `.bin`, rendez-le exécutable avec `chmod +x atlassian-confluence-9.2.26-x64.bin` et exécutez-le en root. Choisissez **Mise à niveau** lorsque demandé, en pointant l'installeur vers votre répertoire d'installation existant. Si vous gérez les déploiements manuellement via l'archive `.tar.gz`, remplacez le contenu du répertoire d'installation en préservant vos symlinks `confluence.home` et les personnalisations de `server.xml`.",{"title":74,"body":75},"Redémarrer et vérifier que le service est opérationnel","Démarrez le service avec `sudo systemctl start confluence` et suivez les logs : `tail -f \u002Fopt\u002Fatlassian\u002Fconfluence\u002Flogs\u002Fatlassian-confluence.log`. Attendez la ligne `Server startup in`. Ouvrez ensuite l'interface admin et confirmez que le numéro de version affiché correspond à la version patchée.",{"title":77,"body":78},"Pour les clusters Data Center : déployer nœud par nœud","Dans un cluster, retirez un nœud de l'équilibreur de charge, patcher-le, démarrez-le, attendez qu'il rejoigne le cluster (vérifiez dans **Administration → Clustering**), puis répétez pour le nœud suivant. Ne mettez jamais tous les nœuds hors ligne simultanément ; cela déclenche la protection split-brain du cluster et peut nécessiter une récupération manuelle.",{"title":80,"body":81},"Tester les fonctionnalités de base et vérifier les logs","Après la mise à jour, exécutez un test de fumée : créez une page dans Confluence ou un ticket dans Jira, vérifiez que les pièces jointes s'uploadent correctement, et confirmez que toute intégration SSO fonctionne encore. Parcourez `atlassian-confluence.log` ou `atlassian-jira.log` pour détecter d'éventuelles stack traces introduites par la mise à jour.",{"type":83,"title":84,"body":85},"tip","Contournement temporaire si le patch est impossible immédiatement","Si vous ne pouvez pas appliquer le patch maintenant, la mesure intermédiaire la plus efficace est de bloquer entièrement l'accès externe à l'instance. Placez l'application derrière un reverse proxy (nginx ou Apache httpd) et restreignez l'accès aux plages IP de votre bureau et aux nœuds de sortie VPN au niveau du pare-feu. Au niveau nginx, vous pouvez également ajouter un bloc `location` qui rejette les requêtes contenant la séquence double-deux-points : `if ($request_uri ~* '::') { return 403; }`. Il s'agit d'un filtre heuristique, pas d'un vrai correctif — il peut être contourné par des variantes d'encodage — mais il réduit les scans opportunistes. Ne vous reposez pas sur cette mesure comme solution permanente. Patcher dès que votre fenêtre de maintenance le permet.\n\nNote : les règles WAF génériques qui inspectent le chemin URL peuvent ou non intercepter toutes les variantes d'encodage du traversal `::`. L'avis officiel d'Atlassian indique explicitement que le filtrage au niveau réseau n'est pas un substitut suffisant au patch.",{"type":36,"title":87,"body":88},"Vérifier que votre instance n'est plus vulnérable","Après le patch, confirmez que la version dans l'interface admin correspond à la version corrigée. Vous pouvez également effectuer une vérification basique depuis une machine ayant accès réseau à l'instance en envoyant une requête craftée et en vérifiant qu'elle retourne une 400 ou 403 plutôt que le contenu d'un fichier. Un chemin de test sûr est de requêter `http:\u002F\u002Fvotre-domaine.com\u002Fconfluence\u002Fsetup\u002F::WEB-INF\u002Fweb.xml` — une instance patchée retourne une erreur ; une instance vulnérable retourne le fichier.\n\nPour une vérification plus rigoureuse, utilisez un outil comme `nuclei` avec le template Atlassian CVE-2026-21589 (disponible dans le dépôt communautaire nuclei-templates une fois le template publié). Exécutez le scan depuis un segment réseau pouvant atteindre l'instance et confirmez zéro résultat.\n\nEnfin, analysez vos logs applicatifs pour détecter d'éventuels patterns d'accès historiques correspondant au traversal `::`, ce qui indiquerait des tentatives d'exploitation ou une exploitation effective avant le patch. Cherchez la chaîne littérale `::` dans votre log d'accès : `grep '::' \u002Fopt\u002Fatlassian\u002Fconfluence\u002Flogs\u002Faccess.log`. Tout résultat antérieur à votre date de patch justifie une analyse d'incident approfondie.",{"type":36,"title":90,"body":91},"Mesures préventives à long terme","Patcher CVE-2026-21589 traite le risque immédiat, mais la leçon plus large porte sur la surface d'exposition. Quelques mesures rendent votre déploiement Atlassian nettement plus difficile à exploiter à l'avenir.\n\n**Restreindre l'exposition réseau.** Si votre équipe n'est pas distribuée mondialement, restreignez le port 443 à vos plages IP de bureau et aux nœuds de sortie VPN au niveau du pare-feu. Les produits Atlassian n'ont aucune raison d'être directement accessibles depuis internet ouvert sauf si votre cas d'usage le nécessite vraiment. Un VPS avec un ensemble de règles `ufw` correctement configuré peut bloquer le trafic de scan avant qu'il n'atteigne l'application.\n\n**Opérer derrière un reverse proxy avec filtrage des requêtes.** nginx en reverse proxy permet de normaliser les chemins de requêtes avant qu'ils n'atteignent Atlassian, de rejeter les en-têtes surdimensionnés, de limiter le débit sur le endpoint de login, et de journaliser des données d'accès structurées. Le modèle `proxy_pass` signifie également que votre port applicatif réel (8090 pour Confluence, 8080 pour Jira) n'est jamais exposé directement.\n\n**Automatiser le scan de vulnérabilités.** Des outils comme `trivy` ou `grype` peuvent scanner les fichiers JAR Atlassian installés et signaler les CVE connues. Intégrez cela dans un cron job hebdomadaire et routez les alertes vers votre système de monitoring. Atlassian maintient également un flux RSS sur `advisories.atlassian.com` — abonnez-vous pour recevoir les nouveaux avis dans les heures suivant leur publication.\n\n**Maintenir une procédure de rollback testée.** Chaque mise à jour devrait avoir une étape de rollback documentée. Créez un snapshot disque de votre VPS avant le patch, ou vérifiez au minimum que votre sauvegarde de base de données est restaurable. Un rollback qui n'a jamais été testé n'est pas un rollback — c'est un espoir.",{"type":93,"title":94,"rows":95,"headers":108},"comparison","Versions vulnérables vs versions corrigées pour les trois principaux produits",[96,100,104],[97,98,99],"Confluence Data Center","Toutes versions \u003C 9.2.26 (LTS) ou \u003C 10.2.19","9.2.26 (LTS) · 10.2.19",[101,102,103],"Jira Software Data Center","Toutes versions \u003C 9.12.40 (LTS), \u003C 10.3.26 ou \u003C 11.3.12","9.12.40 (LTS) · 10.3.26 · 11.3.12",[105,106,107],"Jira Service Management DC","Toutes versions \u003C 5.12.40 (LTS), \u003C 10.3.26 ou \u003C 11.3.12","5.12.40 (LTS) · 10.3.26 · 11.3.12",[109,110,111],"Produit","Versions vulnérables","Version corrigée",{"type":36,"title":113,"body":114},"Conclusion","CVE-2026-21589 est l'une des vulnérabilités Atlassian les plus sérieuses de ces dernières années : non authentifiée, couvrant l'ensemble de la gamme de produits, avec un CVSS de 9.3. Le patch est simple à appliquer si votre déploiement suit la disposition standard Atlassian, et les versions corrigées sont disponibles dès maintenant. Le filtre nginx intermédiaire permet de gagner du temps, mais ne remplace pas la mise à jour.\n\nSi vous faites tourner des outils Atlassian sur un VPS et souhaitez une base incluant une configuration pare-feu correcte, des snapshots automatisés et une configuration reverse proxy, l'offre VPS managé ServOrbit est conçue pour exactement ce type de charge.\n\nLecture complémentaire : [Migrer Jira vers OpenProject ou Plane sur VPS](\u002Fblog\u002Fmigrer-jira-openproject-plane-vps-2026) · [Authentik vs Authelia — SSO self-hosted](\u002Fblog\u002Fauthentik-vs-authelia-sso-self-hosted) · [CrowdSec vs fail2ban — sécurité VPS](\u002Fblog\u002Fcrowdsec-vs-fail2ban-securite-vps)","Déployer sur VPS sécurisé","\u002Fvps-cloud",[118,142,164],{"id":119,"slug":120,"slugs":121,"title":125,"excerpt":126,"readTime":127,"views":128,"isPinned":19,"publishedAt":129,"updatedAt":130,"category":131,"categories":136,"featuredImage":30,"bgImage":31,"posterImage":138,"relatedSolution":139},270,"migrer-jira-openproject-plane-vps-2026",{"fr":120,"en":122,"ar":123,"es":124},"migrating-from-jira-data-center-to-openproject-or-plane-on-vps","هجرة-jira-data-center-إلى-openproject-أو-plane-على-vps","migrar-de-jira-a-openproject-o-plane-en-vps","Migrer de Jira Data Center vers OpenProject ou Plane sur VPS","Jira Data Center ne vend plus de nouvelles licences depuis mars 2026 et passe en lecture seule le 28 mars 2029. Migrez vers OpenProject ou Plane sur VPS en une journée.",13,1,"2026-08-16T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":132,"name":133,"slug":134,"color":135,"icon":134},3,"Déploiement","deploiement","bg-success\u002F10 text-success",[137],{"id":132,"name":133,"slug":134,"color":135,"icon":134},"\u002Fblog\u002Fcovers\u002Fmigrer-jira-openproject-plane-vps-2026-poster.svg",{"categorySlug":140,"appSlug":141},"collaboration","plane",{"id":143,"slug":144,"slugs":145,"title":149,"excerpt":150,"readTime":17,"views":18,"isPinned":19,"publishedAt":151,"updatedAt":152,"category":153,"categories":158,"featuredImage":30,"bgImage":31,"posterImage":160,"relatedSolution":161},423,"authentik-vs-authelia-sso-self-hosted",{"fr":144,"en":146,"ar":147,"es":148},"authentik-vs-authelia-sso-comparison-vps","authentik-مقابل-authelia-sso-مستضاف-ذاتيا-vps","authentik-vs-authelia-sso-comparativa-vps","Authentik vs Authelia : quel SSO self-hosted pour votre VPS ?","Authentik ou Authelia pour votre SSO self-hosted ? Comparatif technique : protocoles OIDC\u002FSAML, empreinte RAM, architecture et cas d'usage pour choisir.","2026-10-08T00:00:00+00:00","2026-10-08T23:30:51+00:00",{"id":154,"name":155,"slug":156,"color":157,"icon":156},5,"Comparatif","comparatif","bg-info\u002F10 text-info",[159],{"id":154,"name":155,"slug":156,"color":157,"icon":156},"\u002Fblog\u002Fcovers\u002Fauthentik-vs-authelia-sso-self-hosted-poster.svg",{"categorySlug":162,"appSlug":163},"cybersecurity","authentik",{"id":165,"slug":166,"slugs":167,"title":171,"excerpt":172,"readTime":173,"views":132,"isPinned":19,"publishedAt":174,"updatedAt":175,"category":176,"categories":177,"featuredImage":30,"bgImage":31,"posterImage":179,"relatedSolution":180},348,"crowdsec-vs-fail2ban-securite-vps",{"fr":166,"en":168,"ar":169,"es":170},"crowdsec-vs-fail2ban-which-to-choose-for-your-vps","crowdsec-مقابل-fail2ban-ايهما-تختار-لخادمك","crowdsec-vs-fail2ban-cual-elegir-para-tu-vps","CrowdSec vs Fail2ban : lequel choisir pour protéger votre VPS","CrowdSec ou Fail2ban sur votre VPS Linux ? Comparatif par cas d'usage : blocklist communautaire ou simplicité locale — l'arbre de décision pour choisir.",7,"2026-09-11T00:00:00+00:00","2026-09-11T11:34:13+00:00",{"id":154,"name":155,"slug":156,"color":157,"icon":156},[178],{"id":154,"name":155,"slug":156,"color":157,"icon":156},"\u002Fblog\u002Fcovers\u002Fcrowdsec-vs-fail2ban-securite-vps-poster.svg",{"categorySlug":162,"appSlug":30},1791900933135]