Atlassian Data Center: CVE-2026-21589, archivos leídos sin login

📌 Novedades posteriores: Atlassian CVE-2026-21589 en el KEV de CISA: está explotada (15 de octubre de 2026)

El 5 de octubre de 2026 Atlassian publicó un boletín sobre una vulnerabilidad crítica que afecta a varios de sus productos instalados en las instalaciones del cliente (ediciones Data Center): CVE-2026-21589, con una puntuación CVSS 4.0 de 9.3. Permite a un atacante no autenticado leer archivos concretos situados en el directorio raíz de la aplicación web. Atlassian Cloud ya está corregido y los clientes del servicio en la nube no tienen que hacer nada.

Entre el 6 y el 8 de octubre publicaron avisos el CERT-FR, el NCSC-NL, el CERT-EU, el BSI/CERT-Bund, el NCSC-FI y el Canadian Centre for Cyber Security.

Qué ha pasado

Según el CERT-EU, que se basa en el boletín del fabricante, se trata de una vulnerabilidad de acceso arbitrario a archivos. El NCSC-FI precisa que se explota a través de la red, sin credenciales y sin ninguna acción de los usuarios. Tiene, sin embargo, un límite: el atacante debe conocer de antemano el nombre y la ruta exactos del archivo, porque la vulnerabilidad no permite listar el contenido de los directorios. Atlassian advierte que algunas configuraciones pueden contener archivos sensibles, lo que aumenta el riesgo.

Los organismos la clasifican de forma parecida: el CERT-FR habla de vulneración de la confidencialidad de los datos, el BSI de divulgación de información con gravedad alta y el NCSC-NL clasificó su aviso (NCSC-2026-0402) como M/H, es decir, probabilidad media y daño alto. El CERT-EU y el NCSC-FI la consideran crítica.

Explotación: las fuentes no coinciden

Los avisos, publicados en días distintos, muestran un panorama que ha ido cambiando:

• según el CERT-EU (7 de octubre), Atlassian afirma que su investigación no ha encontrado pruebas de explotación;
• el Canadian Centre for Cyber Security, en su actualización del 7 de octubre, indica que fuentes abiertas señalan una explotación activa de CVE-2026-21589;
• el NCSC-FI (8 de octubre) informa de que se han publicado una prueba de concepto funcional y una plantilla para escáneres automáticos de vulnerabilidades, y de que poco después se observaron en Internet intentos de explotación. Aclara, no obstante, que las observaciones públicas se refieren por ahora a sistemas señuelo (honeypots), no a intrusiones confirmadas en organizaciones.

Detalles técnicos

• CVE: CVE-2026-21589, CVSS 4.0 9.3 (crítica).
• Tipo de fallo: acceso arbitrario a archivos del directorio raíz de la aplicación web, sin posibilidad de listar los directorios.
• Vector: red, sin autenticación y sin interacción del usuario.
• Qué buscar en las peticiones: las mitigaciones y comprobaciones indicadas por Atlassian se centran en las secuencias .. justo al lado de /, \ o ::, también codificadas en la URL.
• MITRE ATT&CK: la explotación de un servicio expuesto corresponde a T1190 (Exploit Public-Facing Application).
• Versiones corregidas según el CERT-EU (están afectadas todas las versiones anteriores):
  • Bitbucket Data Center: 9.4.26, 10.2.8, 10.5.1;
  • Confluence Data Center: 9.2.26, 10.2.19;
  • Jira Service Management Data Center: 5.12.40, 10.3.26, 11.3.12;
  • Jira Software Data Center: 9.12.40, 10.3.26, 11.3.12;
  • Bamboo Data Center: 10.2.24, 12.1.12;
  • Crowd Data Center: 6.3.7, 7.0.3, 7.1.7, 7.2.4;
  • Crucible y Fisheye: 4.9.15.

Las listas de los organismos no son idénticas. La del CERT-FR recoge las mismas versiones, pero no menciona Jira Service Management. El Canadian Centre incluye también las ediciones Server (para Bamboo, Bitbucket, Confluence y Crowd Server indica «todas las versiones») y presenta las versiones con otra notación y, en algunas ramas, con números distintos. Atlassian recomienda pasar a la versión LTS corregida o posterior: comprueba en el boletín el número exacto para tu rama.

Impacto para las empresas europeas e italianas

Los productos afectados sostienen el trabajo diario de muchos equipos: Jira y Confluence para incidencias y documentación, Bitbucket para el código fuente, Bamboo para compilaciones y despliegues, Crowd para la gestión centralizada de accesos. La gravedad de una lectura no autorizada depende de qué archivos sean accesibles. Entre las acciones tras una posible explotación, el NCSC-FI indica sustituir las credenciales de Crowd y de las aplicaciones, las claves API y otros secretos, y revisar nuevos usuarios, administradores y cambios de permisos.

Para las entidades incluidas en NIS2, la lectura de credenciales o secretos de un sistema expuesto es un incidente que debe valorarse para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN.

Qué hacer ahora

1. Inventario: identifica todas las instalaciones de Atlassian gestionadas por tu organización. El NCSC-FI recomienda revisar también los nodos de los clústeres, los entornos de prueba, los mirrors de Bitbucket y cualquier otra instancia accesible desde Internet.
2. Actualiza a las versiones corregidas o posteriores, empezando por las instancias expuestas a Internet, como recomienda el CERT-EU.
3. Si no puedes actualizar enseguida: retira la instancia de Internet hasta corregirla, aunque requiera inicio de sesión. Como alternativa, Atlassian ofrece tres mitigaciones:
   • opción 1 (todos los productos): una regla en el WAF o en el proxy que bloquee las URL que coincidan con la expresión regular que se muestra a continuación; después comprueba que bloquea de verdad .. junto a /, \ o ::, también en sus formas codificadas;
   • opción 2 (Confluence, Jira Service Management, Jira, Bamboo y Crowd): en cada nodo, activa el RewriteValve de Tomcat en el elemento <Context> de la aplicación e instala un archivo rewrite.config en el directorio WEB-INF;
   • opción 3 (solo Bitbucket): añade una regla de bloqueo al principio de ./app/WEB-INF/urlrewrite.xml en todos los nodos, mirrors y nodos de las mirror farms, y reinicia Bitbucket Data Center. Haz una copia de seguridad de la instancia antes de las opciones 2 y 3. Las configuraciones exactas están en el boletín de Atlassian.
4. Revisa los registros de acceso: decodifica cada línea de petición (URL decode) y busca .. justo al lado de /, \ o ::, o busca en las líneas sin decodificar con la misma expresión regular.
5. Si encuentras rastros: averigua qué archivos pueden haberse leído, sustituye las credenciales y los secretos que puedan haber quedado expuestos, revisa nuevos usuarios y administradores, pertenencias a grupos y cambios de permisos, y contacta con la autoridad competente.

La expresión regular indicada por Atlassian, tal como la recoge el CERT-EU:

(?is).*(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2})(?:\.|%(?:25)*2e){2}(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2}|;|%(?:25)*3b|$).*

Antes de usarla en producción, compárala con la del boletín.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a descubrir si una instancia de Jira, Confluence o Bitbucket es accesible desde fuera. ARX Shield enumera las vulnerabilidades abiertas por máquina y por paquete en las máquinas monitorizadas, destacando las que ya se están explotando. Con ARX Trace, los analistas pueden lanzar recopilaciones y búsquedas en varias máquinas para comprobar si hay rastros.

Última actualización: 8 de octubre de 2026