Bamboo Data Center の脆弱性 CVE-2026-21570 が FIX：ホスト上での RCE の恐れ

Bamboo Data Center and Server Vulnerability Let Attackers Execute Remote Code

2026/03/20 CyberSecurityNews — Atlassian の Bamboo Data Center に存在する、リモートコード実行 (RCE) の脆弱性 CVE-2026-21570 (CVSS：8.6) が修正された。この脆弱性を悪用する認証済みのリモート攻撃者は、ホスト上で任意のコード実行を引き起こし、エンタープライズ向けのソフトウェアのビルド／リリース管理のプラットフォームに深刻なリスクをもたらす。

セキュリティ・チームおよびシステム管理者にとって必要なことは、提供されたパッチを直ちに適用して、開発パイプラインを保護することである。この脆弱性は、Atlassian の内部セキュリティ監査により発見されたものであり、優先的な対応が必要とされている。根本的な問題は、Bamboo アプリケーションをホストするサーバ上での不正コマンドの実行にあり、具体的な悪用の手法は公開されていない。

提示された CVSS 4.0 ベクターは以下のとおりであり、攻撃はネットワーク経由で行われ、複雑性は低く、ユーザー操作は一切不要であるが、高権限が必要とされる。

(CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)

悪用に成功した攻撃者は、機密性／完全性／可用性において、基盤ホストに対して重大な影響を与える。

Bamboo Data Center は CI/CD (Continuous Integration/Continuous Deployment) ワークフローの中核を担うため、侵害された場合の影響はサプライチェーン全体に及ぶ。

ビルド・サーバ上で RCE を達成する攻撃者は、自動化されたソフトウェア・リリースへの悪意のコード注入／プロプライエタリなソースコードの窃取／企業ネットワーク内でのラテラル・ムーブメントなどを可能にする。

影響バージョンおよびパッチ管理

この脆弱性はバージョン 9.6.0 で混入したものであり、主要リリース系統である 10.0／10.1／11.0／12.0 などに影響を及ぼす。

すでに Atlassian は、サポート対象となる各リリース系統に対して、包括的なセキュリティ・アップデートを提供している。ユーザー組織は、自社の導入環境を公式修正リストと照合し、適切な緩和策を実施する必要がある。

すべての Bamboo Data Center 利用組織に対して、Atlassian が強く示唆するのは、最新バージョンへの速やかなアップグレードである。

なお、最新のメジャー・リリースへの迅速な移行が困難な場合には、サポート対象の旧バージョン向けの個別のセキュリティ・パッチを利用できる。バージョン 9.6／10.2／12.1 系列を使用する組織の管理者は、指定されたポイント・リリースを適用することで安全性を確保できる。

ただし、すでにサポートが終了したバージョンを運用している場合には、公式にサポートされる修正済みバージョンへのアップグレードが必須となる。

最新のインストール・バイナリおよびリリースノートは、Atlassian のダウンロード・アーカイブから入手可能である。

訳者後書：Atlassian の Bamboo Data Center における、リモートコード実行 (RCE) の脆弱性 CVE-2026-21570 について解説する記事です。この問題の原因は、 Bamboo アプリケーションが動作するサーバ上において、 外部からの不正なコマンド実行を許してしまうプログラム上の不備にあります。 具体的な悪用手法の詳細は伏せられていますが、 この欠陥を突く認証済みのリモート攻撃者により、 システムの基盤となるホストが完全に制御される恐れがあります。ご利用のチームは、ご注意ください。よろしければ、Atlassian Bamboo での検索結果も、ご参照ください。