CISA, 아틀라시안 지라·컨플루언스 등 8개 제품 취약점 '실제 악용' 확인…연방기관에 사흘 내 조치 지시
미국 사이버보안·인프라보안국(CISA)이 지라(Jira)와 컨플루언스(Confluence) 등 아틀라시안(Atlassian) 제품 여러 개에 걸친 보안 취약점 CVE-2026-21589를 '실제 악용이 확인된 취약점(KEV)' 목록에 추가했다. CISA KEV 목록에 따르면 등재일은 2026년 10월 15일이고, 미국 연방기관은 사흘 뒤인 10월 18일까지 조치를 마쳐야 한다. KEV 목록은 이론상 위험한 취약점이 아니라 실제 공격에 쓰인 것이 확인된 취약점만 모아 둔 목록이다. 이번 결함도 이미 공격자 손에 들어갔다는 뜻이다.
CISA가 붙인 공식 명칭은 '아틀라시안 다중 제품의 외부 접근 가능한 파일·디렉터리 취약점(Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability)'이다. 영향을 받는 제품은 비트버킷 데이터센터(Bitbucket Data Center), 컨플루언스 데이터센터, 지라 서비스 매니지먼트 데이터센터, 지라 소프트웨어 데이터센터, 뱀부 데이터센터(Bamboo Data Center), 크라우드 데이터센터(Crowd Data Center), 크루서블(Crucible), 피시아이(Fisheye) 등 8개다.
CISA 설명을 보면, 취약한 버전에서는 인증을 거치지 않은 공격자가 웹 애플리케이션 루트 디렉터리 안의 특정 파일에 접근할 수 있다. 로그인 없이 외부에서 서버 내부 파일을 열어볼 수 있다는 점에서 위험도가 높다.
대상 제품은 기업 개발·협업 업무의 핵심 도구다. 지라는 업무·이슈 관리, 컨플루언스는 사내 문서·위키, 비트버킷은 소스코드 저장소, 뱀부는 빌드·배포 자동화, 크라우드는 사용자 계정·통합 인증 관리, 피시아이와 크루서블은 코드 검색·리뷰에 쓰인다. 이름에 '데이터센터'가 붙은 제품은 기업이 자체 서버에 직접 설치해 운영하는 버전이다. 소스코드와 내부 문서, 인증 정보가 모이는 시스템이 한꺼번에 영향권에 든 셈이다. 같은 결함이 여러 제품에 걸쳐 있어, 아틀라시안 제품을 여러 개 함께 쓰는 조직은 점검할 서버도 그만큼 늘어난다.
CISA는 공급사 지침에 따라 완화 조치를 적용하라고 요구했다. 이때 위험도에 따라 보안 업데이트 우선순위를 정하도록 한 구속력 있는 운영지침 'BOD 26-04'와 '포렌식 분류 요건(Forensics Triage Requirements)'도 함께 지키라고 했다. 클라우드 서비스에는 BOD 26-04의 해당 지침을 따르고, 완화 조치를 할 수 없으면 제품 사용을 중단하라고도 명시했다. 각 기관은 자산이 인터넷에 얼마나 노출됐는지 스스로 평가하고 BOD 26-04의 패치 지침을 지킬 책임이 있다.
등재 후 이행 기한이 사흘에 불과하다는 점이 눈에 띈다. 패치만 요구한 것이 아니라 포렌식 분류 요건 준수까지 함께 지시했다는 것도 특징이다. 업데이트에 그치지 말고 이미 침해 흔적이 있는지 확인하라는 의미로 볼 수 있다.
CISA 지시는 미국 연방기관에만 법적 구속력이 있다. 하지만 KEV 목록은 실제 공격이 확인된 취약점이라는 점에서 민간과 해외 기관도 패치 우선순위를 정할 때 참고하는 지표로 쓰인다. 국내에서도 지라와 컨플루언스 등 아틀라시안 제품을 자체 서버에 설치해 쓰는 기업과 기관이 적지 않다. 해당 제품을 운영 중이라면 아틀라시안 보안 공지를 확인해 최신 버전으로 업데이트하고, 외부에 노출된 서버부터 먼저 점검하는 것이 좋다.
