Atlassian Bitbucket 인증 없는 네트워크 공격 취약점

무슨 일이 생겼나요

KISA 보호나라는 2026-10-30 Atlassian 제품의 보안 업데이트를 권고했어요. 대상 취약점은 CVE-2026-21589예요. 출입증을 확인하기 전에 접근할 수 있는 문에 문제가 생긴 상황에 비유할 수 있어요. 이 취약점은 인증 없이 네트워크로 공격할 수 있다는 점에서, 계정을 가진 사람만 살펴보는 것으로는 대응 범위를 정하기 어려워요.

대상 제품은 Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible, Fisheye예요. 같은 CVE가 여러 제품에 연결돼 있지만, 해결 버전은 제품과 버전 계열마다 달라요. 사용하는 제품 이름과 설치 버전을 함께 확인해야 해요.

CVE-2026-21589는 실제 공격에 쓰이고 있음(CISA KEV 등재)이 확인된 취약점이에요. CISA KEV는 실제 공격에 악용된 것으로 알려진 취약점 목록이며, 등재일은 2026-10-15예요. 조치기한은 2026-10-18로 기록돼 있어요. 다만 이 날짜를 모든 조직에 똑같이 적용되는 의무 기한으로 해석해서는 안 돼요.

기술적으로는 (초급 개발자용)

취약점 식별자인 CVE는 보안 문제를 구분하는 공통 이름이에요. 이번 권고의 CVE는 CVE-2026-21589이며, NVD 게시일은 2026-10-05예요. NVD는 취약점 정보를 정리하는 데이터베이스예요. 여러 제품이 대상이라고 해서 서로 다른 CVE가 각각 있는 것은 아니에요.

약점 유형을 분류하는 CWE에는 CWE-552가 연결돼 있어요. CWE-552는 외부에서 접근할 수 있는 파일 또는 디렉터리와 관련된 약점 분류예요. 다만 이 분류만으로 특정 파일이 노출된다거나 어떤 설정 실수가 원인이라고 단정할 수는 없어요. 제품 내부의 구체적인 발생 원인과 공격 결과는 여기서 확정할 수 없어요.

확인된 공격 조건은 인증 없이 가능하고 네트워크로 공격할 수 있다는 점이에요. 인증은 계정 등으로 접근 주체를 확인하는 절차를 뜻해요. 따라서 공격자가 유효한 계정을 가지고 있어야만 공격할 수 있는 문제로 이해하면 안 돼요. 반대로 이 조건만으로 모든 설치 환경에서 공격이 성공한다거나, 특정 정보 유출이나 서버 장악으로 이어진다고 단정해서도 안 돼요.

취약점의 심각도를 평가하는 CVSS는 버전 4.0 기준 점수가 9.3이며, 심각도 표기는 CRITICAL이에요. 이 평가는 보안 대응에서 높은 우선순위로 다룰 근거예요. 점수가 개별 서버의 침해 여부나 공격 성공 확률을 뜻하는 것은 아니에요. 이번에는 CISA KEV 등재로 실제 악용 사실까지 확인되므로, 점수와 실제 공격 이력을 함께 보고 업데이트 일정을 정해야 해요.

누가 영향을 받나요

일반 사용자

이 제품을 이용하는 일반 사용자는 자신이 쓰는 업무 서비스가 대상 제품인지 운영 담당자에게 확인하는 것이 좋아요. 이용 화면에 접속할 수 있다는 사실만으로 해당 서비스의 제품 버전이나 업데이트 완료 여부를 알 수는 없어요. 실제로 해결됐는지는 서버에 설치된 제품 버전으로 확인해야 해요.

이 취약점은 인증 없이 공격할 수 있으므로 비밀번호 변경만으로 제품의 보안 업데이트를 대신할 수 없어요. CISA KEV 등재가 자신이 이용하는 서비스의 침해를 뜻하는 것도 아니에요. 서비스의 영향 여부와 업데이트 일정은 해당 제품을 운영하는 담당자의 확인이 필요해요.

개발자

개발자는 업무에 사용하는 Bitbucket Data Center, Jira Software Data Center, Bamboo Data Center, Crucible, Fisheye 등이 이번 대상에 포함되는지 확인해야 해요. 개발 작업에 사용한다는 이유만으로 개인 개발 환경의 문제로 좁혀 보면 안 돼요. 운영 담당자와 제품 이름, 설치 버전, 해당 버전 계열의 해결 기준을 맞춰 보는 것이 필요해요.

CVE-2026-21589와 CWE-552라는 정보만으로 자체 코드의 특정 부분이 원인이라고 판단하거나 임의 수정으로 해결됐다고 처리해서는 안 돼요. 이번 권고의 조치 기준은 대상 제품의 해결 버전이에요. 업데이트를 적용할 때는 제조사 공지의 업데이트 절차를 따르고, 이후 실제로 사용하는 개발 업무와 연동 기능이 정상적으로 동작하는지 확인해요.

서버·장비 담당자

서버 담당자는 대상 제품의 설치 현황을 제품과 버전 계열별로 정리해야 해요. 예를 들어 Bitbucket Data Center에는 9.4.26 이상, 10.2.8 이상, 10.5.1 이상이라는 서로 다른 해결 기준이 있어요. 이 기준을 제품 전체에 적용되는 단일 숫자로 합치지 말고, 운영 중인 버전 계열에 대응하는 기준과 대조해야 해요.

네트워크로 공격할 수 있고 인증이 필요하지 않으므로, 로그인 정책만 확인해서 대응을 마쳤다고 판단하면 안 돼요. 제품의 접근 가능 범위와 업데이트 상태를 함께 점검해야 해요. 실제 공격 이력이 확인된 만큼 업데이트 우선순위를 높여 검토하되, CISA KEV 등재만으로 보유 서버가 침해됐다고 판정하지는 말아요.

지금 할 일

1. 운영하거나 이용 중인 대상 제품의 정확한 이름과 설치 버전을 확인해요. Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible, Fisheye를 확인 대상으로 삼아요.
2. Bitbucket Data Center는 해당 버전 계열에서 9.4.26 미만이면 9.4.26 이상, 10.2.8 미만이면 10.2.8 이상, 10.5.1 미만이면 10.5.1 이상으로 업데이트할 계획을 세워요.
3. Confluence Data Center는 해당 버전 계열에서 9.2.26 미만이면 9.2.26 이상, 10.2.19 미만이면 10.2.19 이상으로 업데이트할 계획을 세워요.
4. Jira Service Management Data Center는 해당 버전 계열에서 5.12.40 미만이면 5.12.40 이상, 10.3.26 미만이면 10.3.26 이상, 11.3.12 미만이면 11.3.12 이상이 해결 기준이에요. Jira Software Data Center는 해당 버전 계열에서 9.12.40 미만이면 9.12.40 이상, 10.3.26 미만이면 10.3.26 이상, 11.3.12 미만이면 11.3.12 이상이 해결 기준이에요.
5. Bamboo Data Center는 해당 버전 계열에서 10.2.24 미만이면 10.2.24 이상, 12.1.12 미만이면 12.1.12 이상으로 업데이트할 계획을 세워요. Crowd Data Center는 해당 버전 계열에서 6.3.7 미만이면 6.3.7 이상, 7.0.3 미만이면 7.0.3 이상, 7.1.7 미만이면 7.1.7 이상, 7.2.4 미만이면 7.2.4 이상이 해결 기준이에요.
6. Crucible과 Fisheye는 각각 4.9.15 미만인지 확인하고, 해당하면 4.9.15 이상으로 업데이트할 계획을 세워요. 제품 이름이 서로 다르므로 설치 현황과 조치 완료 여부도 각각 확인해요.
7. 확인한 제품별 해결 기준에 맞춰 제조사 공지의 업데이트 절차를 따르세요. 현재 버전 계열에 어떤 해결 버전을 적용할지 분명하지 않으면 제조사 공지에서 적용 대상을 확인한 뒤 진행해요. CVE-2026-21589가 실제 공격에 사용된다는 점을 반영해 적용 일정과 담당자를 정해요.

바로 업데이트하기 어렵다면

• 바로 업데이트하기 어렵다면 제조사 공지에서 임시 대응 안내와 적용 조건을 먼저 확인해요. 그 내용을 전제로 대상 제품에 접근할 수 있는 범위를 필요한 사용자와 시스템으로 제한하는 방안을 검토해요.
• 제조사 공지를 확인하면서 대상 제품의 불필요한 외부 노출을 줄이는 방안을 검토해요. 접근 범위 조정은 임시 대응으로 관리하고, 제품별 해결 버전으로 업데이트하는 일정은 계속 유지해요.

업데이트 후 확인

• 업데이트 작업 뒤 실제 설치 버전을 다시 확인해요. 업데이트 파일을 준비했거나 작업을 시작했다는 사실이 아니라, 대상 제품이 해당 버전 계열의 해결 기준에 도달했는지로 완료 여부를 판단해요.
• 대상 제품을 여러 곳에서 운영한다면 설치 위치별로 버전을 대조해요. Bitbucket Data Center의 업데이트 완료를 Confluence Data Center나 Jira Software Data Center의 조치 완료로 함께 처리하지 말아요.
• 업데이트한 제품에서 기존에 사용하던 업무 기능과 연동이 정상적으로 동작하는지 확인해요. 정상 접속 여부와 보안 업데이트 적용 여부는 각각 확인해야 해요.
• 업데이트 완료를 과거 침해가 없었다는 증거로 해석하지 말아요. 운영 기록을 점검할 때도 특정 공격 흔적을 임의로 단정하지 말고, 제조사 공지의 추가 확인 안내가 있는지 살펴봐요.

해외 동향 (NVD·CISA KEV)

실제 공격에 쓰이고 있음(CISA KEV 등재) — 미국 사이버보안·기반시설보안청(CISA)이 실제 악용을 확인한 취약점 목록에 CVE-2026-21589(2026.10.15 등재)이 올라 있어요.

제조사 공식 공지

• https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html

자주 묻는 질문

Q. 로그인해야 사용하는 제품인데, 계정이 없는 공격자도 문제가 되나요?

네. CVE-2026-21589는 인증 없이 네트워크로 공격할 수 있는 취약점이에요. 평소 서비스 이용에 로그인이 필요하더라도, 그것만으로 이 취약점의 공격 조건이 사라진다고 볼 수는 없어요. 설치 버전이 해당 제품의 해결 기준을 충족하는지 확인해야 해요.

Q. CISA KEV에 등재됐다면 랜섬웨어 공격도 확인된 건가요?

실제 공격에 쓰인다는 점과 랜섬웨어 사용 여부는 구분해야 해요. CVE-2026-21589의 CISA KEV 등재일은 2026-10-15이며, 랜섬웨어 사용 항목은 Unknown이에요. 이는 랜섬웨어 사용 여부가 확인되지 않았다는 뜻이므로, 사용됐다고도 사용되지 않았다고도 단정할 수 없어요.

Q. 해결 버전이 여러 개인데 가장 큰 버전 번호를 골라야 하나요?

제품과 운영 중인 버전 계열에 맞는 해결 기준을 확인해야 해요. 예를 들어 Confluence Data Center의 해결 기준에는 9.2.26 이상과 10.2.19 이상이 있어요. 숫자 크기만으로 적용 대상을 정하지 말고 제조사 공지에서 현재 환경에 해당하는 업데이트 경로를 확인한 뒤, 제조사 공지의 업데이트 절차를 따르세요.