Falla crítica en Jira y Confluence expone archivos sin autenticación y ya se explota

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) sumó el 15 de octubre a su catálogo de vulnerabilidades explotadas (KEV) la CVE-2026-21589, una falla crítica que afecta a ocho productos de Atlassian instalados en servidores propios: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible y Fisheye. Permite que un atacante sin usuario ni contraseña lea archivos de la aplicación desde internet. Atlassian publicó el aviso y los parches el 5 de octubre.

Qué es la falla

En simple: alguien de afuera puede pedirle al servidor archivos que no deberían estar a la vista, y el servidor se los entrega. Es una falla de acceso a archivos (CWE-552), causada por un recorrido de rutas (path traversalVulnerabilidad que permite leer o escribir archivos fuera de la carpeta autorizada de un sistema manipulando las rutas de archivo que recibe, por ejemplo con secuencias que suben de directorio.) en una biblioteca que comparten todos estos productos, atlassian-plugins-webresource, según el análisis de la empresa CrowdSec. No exige autenticación ni interacción del usuario y se explota por red.

Atlassian aclara que el atacante necesita conocer el nombre y la ruta exactos del archivo, y que la falla no permite listar el contenido de las carpetas. CrowdSec advierte que esa condición no protege: todas las instalaciones usan la misma estructura de archivos. Los investigadores de watchTowr mostraron que leer uno de ellos, crowd.properties, entrega la contraseña con la que Jira se conecta a Crowd, el directorio de usuarios de Atlassian, y con ella pudieron crear un administrador de Jira. Atlassian la califica con CVSS 4.0 de 9,3 (crítica); la base de vulnerabilidades del gobierno estadounidense (NVD) le asigna 7,5 en CVSS 3.1.

A quién afecta

Afecta a las ediciones Data Center, las que cada organización instala en su propia infraestructura, de Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo y Crowd, y a Crucible y Fisheye. Según el aviso, están afectadas todas las versiones anteriores a las corregidas. Los productos en la nube de Atlassian ya fueron corregidos y sus clientes no tienen que hacer nada; la empresa dice que no encontró explotación allí.

Estado de explotación

Explotada, según el catálogo KEV de CISA. CISA no informa si hay uso en campañas de secuestro de datos (ransomwarePrograma malicioso que cifra o bloquea los archivos de una víctima para exigirle un pago a cambio de devolverle el acceso.). Cuando publicó el aviso, Atlassian dijo que no tenía pruebas de ataques, pero watchTowr explicó la falla el 6 de octubre, ese mismo día aparecieron códigos de explotación públicos, y CrowdSec registró los primeros intentos el 7. Entre el 7 y el 12 de octubre contó 89 direcciones IP que enviaron pedidos con el patrón del ataque, aunque la mayoría pertenecen a un escáner de investigación y no a atacantes; CrowdSec no puede confirmar que algún intento haya tenido éxito.

La exposición es amplia: watchTowr contó casi 700.000 instancias de Confluence visibles en un solo buscador de equipos conectados a internet, según CrowdSec.

Qué hacer

• Actualizar a una versión corregida: Bitbucket 9.4.26, 10.2.8 o 10.5.1; Confluence 9.2.26 o 10.2.19; Jira Software 9.12.40, 10.3.26 o 11.3.12; Jira Service Management 5.12.40, 10.3.26 o 11.3.12; Bamboo 10.2.24 o 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 o 7.2.4; Crucible y Fisheye 4.9.15, o versiones posteriores.
• Si no se puede actualizar enseguida, sacar la instancia de internet, incluso si exige inicio de sesión, como recomienda Atlassian.
• Mientras tanto, aplicar una de las mitigaciones temporales del aviso: una regla en el firewall de aplicaciones web o el proxy que bloquee el patrón de recorrido de rutas, una regla de Tomcat (RewriteValve) para Confluence, Jira, Jira Service Management, Bamboo y Crowd, o una regla en urlrewrite.xml para Bitbucket, en todos los nodos del clúster.
• Revisar los registros de acceso en busca del patrón descrito en el aviso. Atlassian no puede confirmar si una instancia fue comprometida.
• Si la instancia estuvo expuesta y sin parche después del 6 de octubre, CrowdSec recomienda cambiar la contraseña de aplicación de Crowd y revisar el grupo jira-administrators y las cuentas creadas desde el 5 de octubre.
• CISA fijó el 18 de octubre como plazo para que las agencias federales de Estados Unidos apliquen las medidas, y pide además cumplir sus requisitos de análisis forense.

Ficha técnica

• CVE: CVE-2026-21589
• CVSS: 9,3 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H), según Atlassian; 7,5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N), según NVD
• CWE: CWE-552, archivos o carpetas accesibles a terceros
• Productos: Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo y Crowd Data Center, Crucible y Fisheye
• Versiones corregidas: las listadas en "Qué hacer"
• Aviso del fabricante: confluence.atlassian.com/security, 5 de octubre de 2026
• Alta en KEV: 15 de octubre de 2026, plazo del 18 de octubre