Atlassian 把 CVE-2026-21589 記錄改為「已撤銷」：CISA 前一天才列入 KEV、條目期限 10 月 18 日，撤銷後約 21 小時目錄仍列著它；Atlassian 公告仍用同一編號列出修補版本，頁尾最後修改日還是 10 月 5 日
趨勢新聞2026 年 10 月 18 日
Atlassian 在世界協調時間 2026 年 10 月 16 日 20:39（台灣時間 10 月 17 日 04:39），把它以 CVE 編號機構身分負責的 CVE-2026-21589 記錄改為「已撤銷」（REJECTED）。記錄上只有一段簡短理由：「這個 CVE 的發布可能是誤判或錯誤，因此我們撤銷了這筆記錄。」（本站譯）沒有交代具體原因。前一天，美國網路安全暨基礎設施安全局（CISA）才把它列入已知遭利用漏洞目錄（KEV），條目期限 10 月 18 日。CISA 目前的目錄版本在世界協調時間 10 月 16 日 17:15 發布，比撤銷早約 3 小時 23 分；本站在 10 月 17 日 17:34（世界協調時間）再次下載，仍是這一版，仍列著它。
CVE-2026-21589 是 Atlassian 10 月 5 日公告的讀檔漏洞，影響 Jira、Confluence、Bitbucket 等 8 款自架產品，本站 10 月 9 日報導過。一個已被政府目錄列為遭利用的漏洞，記錄隔天被廠商撤銷。本站的讀法：各份官方資料更新的時點不同，現在呈現的狀態也不同。這篇比對四份官方資料的現況，回答三件事：撤銷前後各份資料怎麼寫、CISA 的評估在列入前怎麼變，以及修補要不要照做。
四份官方資料呈現不同狀態
cve.org 上的記錄（10 月 18 日取得）狀態為 REJECTED，原本的漏洞描述、受影響產品、修補版本與 CISA 加註的評估都已不在記錄裡，保留的是撤銷理由，以及編號、編號機構與日期等中繼資料：10 月 5 日 21:30 發布、10 月 16 日 20:39 撤銷（皆為世界協調時間）。美國國家弱點資料庫（NVD）的狀態也是「已撤銷」，但同一筆資料仍帶著 CISA 的 KEV 欄位：列入日 10 月 15 日、期限 10 月 18 日。
CISA 10 月 16 日版的 KEV 目錄（共 1,748 筆）仍有這一筆，產品寫 Atlassian「多項產品」，描述沿用 Atlassian 公告的說法：未經驗證的攻擊者可以存取網站應用程式根目錄內的特定檔案（公告另寫，攻擊者須知道確切的檔名與路徑，無法列出目錄）；要求鑑識初判的欄位為「是」，勒索軟體使用欄為「未知」。在這份目錄中，Atlassian 名下共 14 筆，這是第 14 筆，上一筆是 2024 年 11 月 12 日列入的 Jira 漏洞 CVE-2021-26086。
Atlassian 的安全公告頁（10 月 18 日讀取）標題仍是「CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products」，「CVE ID」欄仍是這個編號，目前仍列出與本站 10 月 9 日報導相同的修補版本，以及三種暫時做法，頁尾標示「最後修改於 2026 年 10 月 5 日」。本站讀到的版本沒有任何關於撤銷的說明，也沒有提到新的編號。本站以 NVD 的 API 查詢來源為 Atlassian（security@atlassian.com）、發布時間在 10 月 1 日到 18 日之間的 CVE，結果只有這一筆；在這個查詢範圍內，沒有找到可確認的替代編號。
撤銷前一天，評估才改成「已遭實際利用」
CISA 透過 Vulnrichment 計畫，把 SSVC 評估（一種漏洞處置優先序的判斷框架）加註在 CVE 記錄上，這些加註在 GitHub 保留公開的提交歷史。本站比對這筆記錄 10 月 7 日到 17 日的歷史版本：10 月 7 日的評估是利用狀態「概念驗證」（poc）、不可自動化、技術影響「完全」；10 月 14 日技術影響改成「部分」；10 月 15 日先改回「完全」，同一天稍後利用狀態改成「已遭實際利用」（active），之後的版本加上了 KEV 列入日。10 月 17 日的提交版本已是撤銷狀態，只剩 Atlassian 的區塊。
CISA 撤銷前最後公開的 SSVC 評估是 active、不可自動化、技術影響「完全」。本站依約束性作業指令 BOD 26-04 的處置時程表對照：已列入 KEV、不可自動化、技術影響完全、資產對外開放，是 3 個日曆天加鑑識初判（這個指令約束的是美國聯邦文職行政部門機關，簡稱 FCEB），與 KEV 條目的日期與鑑識欄相符。本站 10 月 9 日的報導記錄過，watchTowr 表示截至 10 月 6 日已觀察到在野利用，加拿大網路安全中心的警示更新也寫公開報導指出它正遭利用。撤銷理由沒有說是漏洞本身不成立，還是編號有其他問題；本站比對的官方文件都沒有交代。
CVE 記錄已撤銷，公告仍列修補版本
CVE 記錄格式的官方規格寫明，記錄可以從「已發布」轉為「已撤銷」，也可以從「已撤銷」轉回「已發布」。本站的讀法：規格容許記錄恢復為已發布，但這一筆會不會恢復，在本站比對的官方文件中沒有任何說明。
對管理者比較直接的影響在工具。記錄撤銷後，描述與受影響版本都從記錄中移除；以這筆 CVE 記錄作為判斷來源的弱點掃描或資產管理工具，可能不再把這個漏洞標為待處理（推論，本站沒有測試任何工具，實際行為取決於各工具的資料來源與處理規則）。Atlassian 的公告則沒有撤下，修補版本仍是 Bitbucket 9.4.26、10.2.8、10.5.1，Confluence 9.2.26、10.2.19，Jira Software 9.12.40、10.3.26、11.3.12 等，公告也仍寫 Atlassian 無法替客戶確認個別執行個體是否已受影響，並提供兩種查存取日誌的方法：先把每行請求做網址解碼再找特徵，或直接用公告的正規表示式搜原始日誌；命中不等於已被入侵成功。