Se ha solucionado una falla de seguridad de alta gravedad en Bamboo Data Center, una plataforma empresarial ampliamente utilizada para la gestión de compilación y lanzamiento de software. Registrada como CVE-2026-21570, esta vulnerabilidad de Ejecución Remota de Código (RCE) permite a actores de amenazas autenticados ejecutar código malicioso arbitrario en sistemas remotos.

Se ha solucionado una vulnerabilidad de seguridad de alta gravedad en Bamboo Data Center, una plataforma empresarial ampliamente utilizada para la gestión de compilación y lanzamiento de software.

Registrada como CVE-2026-21570, esta vulnerabilidad de Ejecución Remota de Código (RCE) permite a actores de amenazas autenticados ejecutar código malicioso arbitrario en sistemas remotos.

Los equipos de seguridad y administradores de sistemas deben aplicar los parches proporcionados inmediatamente para proteger sus pipelines de desarrollo.

Descubierta durante las auditorías internas de seguridad de Atlassian, la CVE-2026-21570 tiene una puntuación CVSS de 8.6, lo que indica que es una remediación de alta prioridad.

Aunque los métodos de explotación específicos no se han revelado para proteger instancias sin parchear, el problema central permite a los adversarios ejecutar comandos no autorizados directamente en el servidor que aloja la aplicación Bamboo.

Según el vector CVSS 4.0 proporcionado (CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N), un atacante necesita privilegios altos para explotar esta vulnerabilidad.

Sin embargo, el ataque puede ejecutarse a través de una conexión de red con baja complejidad y no requiere ninguna interacción del usuario.

Si se explota con éxito, el adversario obtiene un impacto de alto nivel en los aspectos de confidencialidad, integridad y disponibilidad de la infraestructura subyacente.

Dado que Bamboo Data Center sirve como centro neurálgico para los flujos de trabajo de integración continua y despliegue continuo (CI/CD), un compromiso exitoso plantea graves riesgos para la cadena de suministro.

Los actores de amenazas que logren la ejecución remota de código en un servidor de compilación podrían inyectar código malicioso en lanzamientos automatizados de software, robar código fuente propietario o pivotar hacia otros segmentos sensibles de la red corporativa.

Versiones afectadas y gestión de parches

La vulnerabilidad se introdujo en la versión 9.6.0 y afecta a varias ramas de lanzamiento principales, incluyendo las versiones 10.0, 10.1, 11.0 y 12.0.

Atlassian ha implementado actualizaciones de seguridad exhaustivas en todas sus ramas de despliegue compatibles para resolver el problema.

Las organizaciones deben cotejar su despliegue actual con la lista oficial de correcciones para garantizar una remediación adecuada.

Atlassian recomienda encarecidamente que todos los clientes de Bamboo Data Center actualicen sus instancias a la última versión disponible del software.

Para aquellas organizaciones que no puedan migrar inmediatamente a la versión principal más reciente, Atlassian ha proporcionado parches de seguridad específicos para ramas antiguas compatibles.

Los administradores de sistemas que operen en las ramas 9.6, 10.2 o 12.1 pueden aplicar de forma segura las versiones puntuales descritas anteriormente.

Los administradores que utilicen versiones completamente sin soporte deben realizar una actualización a una de las versiones corregidas oficialmente compatibles para eliminar la amenaza.

Los últimos binarios de instalación y notas de lanzamiento están disponibles directamente en los archivos de descarga de Atlassian.