CISA, 아틀라시안 지라·컨플루언스 등 8개 제품 취약점 'CVE-2026-21589' 악용 확인 목록에 올려
미국 사이버보안·인프라보안국(CISA)은 지난 15일(현지시간) 아틀라시안(Atlassian)의 여러 제품에 영향을 주는 보안 취약점 CVE-2026-21589를 '실제 악용이 확인된 취약점(KEV)' 목록에 올렸다고 공개했다. 이 취약점이 있으면 인증을 거치지 않은 공격자도 웹 애플리케이션 루트 디렉터리 안의 특정 파일에 접근할 수 있다. CISA는 미국 연방기관에 사흘 뒤인 10월 18일까지 조치를 마치라고 요구했다.
KEV 목록은 이론상 위험한 취약점을 모은 것이 아니다. 실제 공격에 쓰인 것이 확인된 취약점만 올라간다. 목록에 올랐다는 것은 이 결함을 노린 공격이 이미 벌어졌다는 뜻이다. 그래서 KEV 등재는 보안 담당자들이 패치 순서를 정할 때 중요한 기준으로 쓰인다.
CISA가 붙인 취약점 이름은 'Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability'다. 외부에서 접근하면 안 되는 파일이나 디렉터리가 바깥에 노출되는 유형이다. CISA 설명에 따르면 영향을 받는 제품은 △비트버킷(Bitbucket) 데이터센터 △컨플루언스(Confluence) 데이터센터 △지라 서비스 매니지먼트(Jira Service Management) 데이터센터 △지라 소프트웨어(Jira Software) 데이터센터 △뱀부(Bamboo) 데이터센터 △크라우드(Crowd) 데이터센터 △크루서블(Crucible) △피시아이(Fisheye) 등 8개다.
이 제품들은 기업 개발·협업 환경에서 많이 쓰인다. 비트버킷은 소스 코드 저장소, 컨플루언스는 사내 문서와 위키, 지라는 업무·이슈 관리, 뱀부는 빌드·배포 자동화 도구다. 크라우드는 여러 아틀라시안 제품의 사용자 계정과 로그인을 한곳에서 관리한다. 모두 조직 안에서 직접 설치해 운영하는 데이터센터판 제품이다. 개발과 협업에 쓰는 여러 도구가 함께 영향을 받는 만큼, 아틀라시안 제품을 여러 개 쓰는 조직은 점검할 대상도 그만큼 많다. 특히 인증 없이 공격할 수 있다는 점 때문에 인터넷에 직접 노출된 서버가 가장 위험하다.
CISA는 공급사 지침에 따라 완화 조치를 적용하라고 요구했다. 이때 자체 지침인 '구속력 있는 운영 지침(BOD) 26-04', 즉 위험도에 따라 보안 업데이트 우선순위를 정하는 지침과 '포렌식 분류(Forensics Triage) 요구사항'도 함께 지켜야 한다. 클라우드 서비스에는 BOD 26-04의 해당 지침을 따르고, 완화 조치를 적용할 수 없으면 제품 사용을 중단하라고 했다. 자산마다 인터넷 노출 정도를 평가하고 BOD 26-04의 패치 지침을 지키는 책임은 각 운영 주체에 있다고도 밝혔다.
이행 기한도 눈에 띈다. 등재일인 10월 15일부터 18일까지 사흘밖에 주지 않았다. 포렌식 분류 요구사항까지 함께 제시한 것은 패치만 하고 끝내지 말라는 의미로 읽힌다. 시스템이 이미 침해됐는지도 확인하라는 것이다. 기한은 이미 지났지만, 아직 조치하지 않은 시스템이 있다면 지금 바로 점검해야 한다.
CISA의 지시는 법적으로 미국 연방기관에만 적용된다. 그러나 공격자는 국경을 가리지 않는다. 국내에서 같은 제품을 쓰는 공공기관과 기업도 아틀라시안 보안 공지에서 해당 버전과 조치 방법을 확인하고, 최신 버전으로 올려야 한다. 인터넷에 노출된 서버가 있다면 접근 기록을 살펴 이상 징후가 없는지도 확인하는 것이 좋다.
