2025年10月22日、Atlassianは、Jira Software Data Center／ServerおよびJira Service Management Data Center／Serverに、任意のファイルを書き込めるパストラバーサル脆弱性（CVE-2025-22167）が存在すると公表しました。
評価はCVSS 8.7（High）で、JiraのWebインターフェースへ到達できる攻撃者が、Jira JVMプロセスが書き込み可能なファイルパスに任意データを書き込める不具合です。設定改ざんやスクリプト設置を経て、他の欠陥と組み合わさればリモートコード実行（RCE）に至る可能性があります。
影響製品とバージョン
脆弱性は、次の系統で導入され、記載の範囲に存在します。修正は各系統のパッチで提供されています。
-
Jira Software Data Center／Server：9.12.0〜11.0.0（含む11.0.1）に影響。修正は 9.12.28+／10.3.12+／11.1.0+。
-
Jira Service Management Data Center／Server：5.12.0〜10.3.0に影響。修正は 5.12.29+／10.3.12+。
※「JSWSERVER-26552（Public Security Vulnerability）」として管理され、脆弱性種別は「Path Traversal（Arbitrary Write）」です。
技術的な要点
問題は、ファイルパスの取り扱いに起因し、意図しない場所への書き込みを許してしまう点にあります。Jiraが稼働する権限の範囲で、設定ファイルやテンポラリ領域、プラグイン格納先などにデータを置けるため、挙動の改変や任意コード実行の足場が作られやすくなります。
ネットワーク到達のみで成立すること、ユーザー操作を要しないことが、実運用上のリスクを上げます。
設定ファイルの書き換え、スクリプト・JARの置換、タスクの不正作成などをきっかけに、権限昇格や持続化、横展開へ繋がるおそれがあります。監査の観点でも、正規プロセス経由の書き込みのため痕跡が埋もれやすい点に注意が必要です。
関連記事
FBI・Google・Black Lotus LabsがAI 搭載 フィッシングサービス「Outsider Enterprise」を摘発
科学技術振興機構（JST）に不正アクセス、役職員12名分のメール、約1万6,000件が情報漏えいの恐れ
FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)
イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表
SonicWall「SMA1000」シリーズに深刻なSSRF 脆弱性(CVE-2025-40595)
Microsoft Edgeに深刻な2件の脆弱性(CVE-2025-6554,CVE-2025-49713)
Cisco ISEに高深刻度のDoS 脆弱性（CVE-2025-20343）
Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)
中小企業のセキュリティ対策、7割が基本的な対策を実施も課題残る-IPA調査
