Atlassian CVE-2026-21589 en el KEV de CISA: está explotada

El 6 de octubre ARX News trató la CVE-2026-21589 de Atlassian, la vulnerabilidad de acceso arbitrario a archivos en los productos Data Center, a partir de los avisos de CERT-FR, NCSC-NL, CERT-EU, BSI, NCSC-FI y Canadian Centre for Cyber Security. Entonces las fuentes no coincidían sobre la explotación. El 15 de octubre de 2026 CISA incluyó la vulnerabilidad en su catálogo Known Exploited Vulnerabilities (KEV), que recoge las vulnerabilidades de las que la agencia tiene pruebas de explotación activa. A continuación, las novedades respecto al primer artículo.

Qué cambia con la inclusión en el KEV

En el primer artículo el panorama era incierto: según el CERT-EU, Atlassian no había encontrado pruebas de explotación; el Canadian Centre citaba fuentes abiertas que indicaban una explotación activa, y el NCSC-FI señalaba intentos observados contra sistemas señuelo tras la publicación de una prueba de concepto. Con la inclusión en el KEV, CISA considera la vulnerabilidad explotada.

La ficha del KEV no describe los ataques: no indica víctimas, actores ni indicadores de compromiso. En el apartado sobre el uso en campañas de ransomware figura «Unknown», es decir, desconocido.

La ficha se titula «Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability» y pide:

• aplicar las mitigaciones según las instrucciones del fabricante, siguiendo la directiva BOD 26-04 de CISA sobre la priorización de actualizaciones en función del riesgo y sus requisitos de triaje forense («Forensics Triage Requirements»);
• para los servicios en la nube, seguir la misma directiva o dejar de usar el producto si no hay mitigaciones disponibles;
• evaluar la exposición a Internet de cada sistema.

Para las agencias federales estadounidenses el plazo vence el 18 de octubre de 2026, tres días después de la inclusión. El plazo no se aplica a las empresas europeas, pero indica la prioridad que CISA asigna a la vulnerabilidad.

Los detalles añadidos por NVD

La ficha de NVD, publicada el 5 de octubre y actualizada el 15, sigue en estado «Awaiting Analysis»: NVD no ha asignado una puntuación propia. Se mantiene la de Atlassian, CVSS 4.0 9.3, con vector AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H. Significa ataque desde la red, baja complejidad, sin privilegios y sin interacción del usuario; impacto alto en la confidencialidad del sistema vulnerable y ningún impacto en su integridad y disponibilidad; impacto alto en la confidencialidad, integridad y disponibilidad de los sistemas posteriores (subsequent systems). La debilidad está clasificada como CWE-552 (archivos o directorios accesibles a terceros).

La descripción confirma la limitación ya conocida: el atacante debe conocer el nombre y la ruta exactos del archivo y no puede listar el contenido de los directorios. Pero añade, para cada producto, la versión en la que se introdujo el fallo, que el primer artículo no recogía:

• Bitbucket Data Center: desde la 4.6.0; versiones corregidas 9.4.26, 10.2.8, 10.5.1;
• Confluence Data Center: desde la 5.10.0; versiones corregidas 9.2.26, 10.2.19;
• Crowd Data Center: desde la 2.11.0; versiones corregidas 6.3.7, 7.0.3, 7.1.7, 7.2.4;
• Jira Software Data Center: desde la 7.1.0; versiones corregidas 9.12.40, 10.3.26, 11.3.12;
• Jira Service Management Data Center: desde la 3.1.0; versiones corregidas 5.12.40, 10.3.26, 11.3.12;
• Bamboo Data Center: desde la 7.0.1; versiones corregidas 10.2.24, 12.1.12;
• Crucible y Fisheye: versión corregida 4.9.15 (NVD no indica la versión en que se introdujo el fallo).

Las versiones corregidas coinciden con las del CERT-EU recogidas en el primer artículo. La descripción de NVD incluye también de forma explícita Jira Service Management, que faltaba en el aviso del CERT-FR.

Entre sus referencias, NVD enlaza los tickets públicos de Atlassian de cada producto: BSERV-20604 (Bitbucket), CONFSERVER-104488 (Confluence), CWD-6610 (Crowd), JRASERVER-79546 (Jira Software), JSDSERVER-16809 (Jira Service Management), BAM-26567 (Bamboo), CRUC-8741 (Crucible) y FE-7583 (Fisheye). También aparece un repositorio público en GitHub de watchTowr Labs dedicado a esta CVE; el NCSC-FI ya había informado de la publicación de una prueba de concepto funcional.

Impacto para las empresas europeas e italianas

Según CISA, la vulnerabilidad ha sido explotada: una instancia Data Center sin actualizar y accesible desde Internet debe considerarse, por tanto, en riesgo real. La gravedad de una lectura depende de qué archivos se encuentran en el directorio raíz de la aplicación web; Atlassian advierte que en algunas configuraciones hay archivos sensibles.

Los productos afectados guardan tickets, documentación, código fuente, pipelines de compilación y, con Crowd, la gestión centralizada de accesos. Para las entidades sujetas a NIS2 sigue valiendo lo dicho en el primer artículo: la gestión de las vulnerabilidades explotadas forma parte de las medidas de seguridad, y la lectura de credenciales o secretos de un sistema expuesto es un incidente que hay que evaluar para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN.

Qué hacer ya

1. Actualiza a las versiones corregidas o posteriores, empezando por las instancias expuestas a Internet.
2. Si no puedes actualizar de inmediato, retira la instancia de Internet o aplica las mitigaciones de Atlassian descritas en el primer artículo: regla en el WAF o en el proxy, RewriteValve de Tomcat o regla en urlrewrite.xml para Bitbucket.
3. Comprueba las versiones de todas las instancias, incluidos nodos de clúster, entornos de pruebas y mirrors de Bitbucket, comparándolas con la lista anterior y con el ticket de Atlassian del producto.
4. Haz el triaje forense, como pide también CISA: busca en los registros de acceso las secuencias .. justo al lado de /, \ o ::, también codificadas en la URL, al menos desde el 5 de octubre, fecha de publicación de la CVE.
5. Si encuentras rastros: reconstruye qué archivos pueden haberse leído, sustituye credenciales, claves API y otros secretos que puedan estar expuestos, revisa nuevos usuarios y administradores y evalúa las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet y qué productos con vulnerabilidades conocidas se reconocen en ellos: te ayuda a saber si una instancia de Jira, Confluence o Bitbucket es accesible desde fuera. ARX Shield enumera las vulnerabilidades abiertas en las máquinas monitorizadas, con las ya explotadas destacadas. Con ARX Trace, los analistas pueden lanzar recopilaciones y búsquedas en varias máquinas para comprobar posibles rastros.

Última actualización: 15 de octubre de 2026