Atlassian ha revelado dos importantes vulnerabilidades de seguridad que afectan a su producto Bamboo Data Center y Server, incluyendo una falla crítica de inyección de comandos en el sistema operativo y un problema de denegación de servicio de alta gravedad vinculado a una dependencia de terceros. Las organizaciones que utilizan versiones afectadas son instadas con urgencia a aplicar los parches de inmediato. Falla crítica de inyección de comandos (CVE-2026-21571) 

Atlassian ha revelado dos vulnerabilidades de seguridad significativas que afectan a su producto Bamboo Data Center y Server, incluyendo una falla crítica de inyección de comandos del sistema operativo y un problema de denegación de servicio de alta gravedad vinculado a una dependencia de terceros. Las organizaciones que ejecutan versiones afectadas son instadas con urgencia a aplicar los parches de inmediato.

Falla Crítica de Inyección de Comandos (CVE-2026-21571)

La más grave de las dos vulnerabilidades, identificada como CVE-2026-21571, tiene una puntuación CVSS de 9.4 (Crítica) y afecta a Bamboo Data Center y Server en múltiples ramas de versiones.

Clasificada como una vulnerabilidad de inyección de comandos del sistema operativo, esta falla podría permitir a un atacante remoto ejecutar comandos arbitrarios del sistema operativo en el servidor subyacente, lo que podría llevar a la compromisión total del sistema, movimiento lateral a través de redes o la exfiltración de datos sensibles.

La vulnerabilidad afecta a las siguientes versiones de Bamboo:

• 12.1.0 a 12.1.3 (LTS)
• 12.0.0 a 12.0.2
• 11.0.0 a 11.0.8
• 10.2.0 a 10.2.16 (LTS)
• 10.1.0 a 10.1.1
• 10.0.0 a 10.0.3
• 9.6.2 a 9.6.24 (LTS)

Atlassian recomienda actualizar a la versión 12.1.6 (LTS) para implementaciones de Data Center o a la 10.2.18 (LTS) como alternativa parcheada.

DoS de Alta Gravedad a través de la Dependencia Netty (CVE-2026-33871)

La segunda vulnerabilidad, CVE-2026-33871, tiene una puntuación de 8.7 (Alta) y proviene de una debilidad de denegación de servicio en la biblioteca de terceros io.netty:netty-codec-http2 incluida en Bamboo.

Un atacante que explote esta falla podría saturar el procesamiento HTTP/2 del servidor, causando interrupción del servicio y degradación de la disponibilidad para las pipelines de CI/CD que dependen de Bamboo.

Atlassian aclaró que, aunque la dependencia subyacente tiene una calificación de riesgo inherentemente más alta de forma aislada, su aplicación específica de la biblioteca presenta un riesgo evaluado como no crítico, aunque se recomienda encarecidamente aplicar el parche.

Bamboo es un servidor de automatización de CI/CD ampliamente desplegado en pipelines de desarrollo de software empresarial, lo que lo convierte en un objetivo atractivo para actores maliciosos que buscan infiltrarse en cadenas de suministro de desarrollo o inyectar código malicioso en los procesos de compilación.

Las vulnerabilidades de inyección de comandos en estos entornos son particularmente peligrosas, ya que pueden permitir a los atacantes manipular artefactos de compilación o robar credenciales almacenadas en las configuraciones de las pipelines.

Atlassian ha puesto a disposición las versiones corregidas a través de sus archivos oficiales de descarga. Los administradores deben auditar las versiones actualmente implementadas de Bamboo frente a los rangos afectados y priorizar la actualización a las versiones LTS recomendadas sin demora.

Las restricciones a nivel de red en las interfaces administrativas de Bamboo pueden servir como mitigación temporal mientras se aplican los parches.