Atlassian detectó una vulnerabilidad crítica (CVE-2026-21589) en 8 de sus productos Data Center que permite a atacantes sin acceso leer archivos sensibles del servidor. La falla tiene una calificación de 9.3/10 y ya ha sido corregida en las versiones de la nube, pero los clientes auto-alojados deben actualizar sus sistemas inmediatamente. Como medida temporal, la empresa recomienda restringir el acceso externo o aplicar reglas de bloqueo en el firewall.

 Un fallo crítico en 8 productos de Atlassian Data Center, que los clientes alojan ellos mismos, permite que un atacante sin acceso de inicio de sesión lea archivos específicos en el directorio raíz de la aplicación web de cada producto.

El atacante debe conocer ya el nombre exacto y la ruta de un archivo y no puede listar el contenido del directorio. Atlassian reveló el fallo CVE-2026-21589 el 5 de octubre, calificándolo con un 9.3 sobre 10, y enumeró una versión corregida para cada producto.

El directorio raíz de la aplicación web es la carpeta en el servidor que contiene la aplicación web en sí. Según Atlassian, en algunas configuraciones puede contener archivos sensibles, lo que aumenta el riesgo.

Los productos en la nube de Atlassian afectados por el fallo ya han sido parcheados y los clientes de la nube no necesitan realizar ninguna acción.

Atlassian aconseja a los clientes que no puedan actualizar todo a la vez que, si es posible, desconecten la instancia. Cualquier instancia accesible desde la internet pública, incluso aquella que requiera un inicio de sesión, debe restringirse el acceso desde redes externas hasta que sea actualizada o se implemente una regla de bloqueo temporal.

Productos afectados y versiones corregidas

El fallo afecta a todas las versiones de los 8 productos anteriores a las versiones corregidas que se enumeran a continuación. Esto puede incluir versiones que han llegado al final de su vida útil, según Atlassian, que recomienda actualizar a una versión de soporte a largo plazo (LTS) corregida o posterior.

Atlassian enumeró estas versiones corregidas a fecha de 6 de octubre:

Producto Versiones corregidas Bitbucket Data Center 9.4.26, 10.2.8, 10.5.1
Confluence Data Center 9.2.26, 10.2.19
Jira Software Data Center 9.12.40, 10.3.26, 11.3.12
Jira Service Management Data Center 5.12.40, 10.3.26, 11.3.12
Bamboo Data Center 10.2.24, 12.1.12
Crowd Data Center 6.3.7, 7.0.3, 7.1.7, 7.2.4
Crucible 4.9.15
Fisheye 4.9.15

Para la rama 7.1 de Crowd, el campo de versión corregida del ticket indicaba 7.1.7. Una tabla en el mismo ticket mostraba la 7.1.6, que el ticket también enumeraba como versión afectada.

El registro CVE que presentó Atlassian dio números diferentes para 2 productos. Para Crowd, indicó la 7.1.1, que las notas de lanzamiento de Crowd 7.1 datan del 27 de noviembre de 2025, más de 10 meses antes de que se revelara el fallo. Para Bamboo, un campo decía 10.2.4, mientras que la propia descripción del registro decía 10.2.24.

El registro CVE también enumeró las ediciones Server de estos productos, la línea más antigua de Atlassian autoalojada, que el aviso no mencionó. Marcó cada versión de Bamboo Server, Bitbucket Server, Confluence Server y Crowd Server como afectadas y no enumeró versiones corregidas para ellas.

Para Jira Software Server, el registro enumeró las versiones a partir de la 9.12.40 como no afectadas, para Jira Service Management Server a partir de la 5.12.40, y para Crucible Server y Fisheye Server a partir de la 4.9.15. No indicó si las licencias Server pueden ejecutar esas versiones.

Crowd no ha tenido ningún lanzamiento Server desde la versión 5.2 en septiembre de 2023, según las notas de lanzamiento de Crowd de Atlassian, por lo que ninguna de las versiones corregidas de Crowd son lanzamientos Server.

Si aún no puedes actualizar

Atlassian califica el fallo como un salto de directorio (path traversal) en el registro CVE. En un salto de directorio, una solicitud utiliza una ruta de archivo especialmente construida para llegar a archivos a los que no debería.

Atlassian describe 3 reglas de bloqueo temporales, que llama mitigaciones. Las 3 bloquean solicitudes cuya URL contenga .. directamente junto a /, \ o ::, incluyendo formas codificadas en URL.

Cuáles se aplican depende del producto:

* Los 8 productos: una regla en un firewall de aplicaciones web (WAF) o proxy inverso que bloquee las URLs coincidentes.
* Confluence, Jira Software, Jira Service Management, Bamboo y Crowd: una regla Tomcat RewriteValve, instalada en cada nodo, que debe apagarse y reiniciarse.
* Bitbucket: una regla en urlrewrite.xml, aplicada a cada nodo, espejo y nodo de granja de espejos, seguida de un reinicio.

Crucible y Fisheye solo tienen la primera opción. El aviso proporciona la regla y los cambios de archivo para cada uno.

Las mitigaciones "son limitadas y no sustituyen el parcheo de tu instancia", afirma Atlassian en sus tickets de producto.

Comprobando accesos pasados

Atlassian dijo que sus productos en la nube afectados han sido parcheados y que su investigación no ha encontrado evidencia de explotación. Bitbucket Cloud no está afectado.

El aviso no dice si se han visto ataques en instancias autoalojadas. "Atlassian no puede confirmar si tus instancias han sido afectadas por esta vulnerabilidad", afirma.

Indica a los clientes que sus equipos de seguridad busquen en los registros de acceso. Un método es decodificar la URL de cada línea de solicitud, hasta 2 veces, y buscar .. directamente junto a /, \ o ::. El otro es ejecutar el patrón de bloqueo de Atlassian sobre las líneas de registro sin procesar.

El aviso no explica cómo distinguir un intento fallido de una solicitud que devolvió un archivo, ni qué más debe hacer un cliente que encuentre tales solicitudes después de actualizar.

Los atacantes ya han explotado este tipo de fallo en un producto de Atlassian anteriormente. El CVE-2021-26086 es una vulnerabilidad de salto de directorio en Jira Server y Data Center que permite a atacantes remotos leer archivos específicos. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) la añadió a su catálogo de vulnerabilidades explotadas conocidas el 12 de noviembre de 2024.

Cómo calificó atlassian el fallo

La calificación de 9.3 utiliza la versión 4.0 del Sistema de Puntuación de Vulnerabilidades Comunes (CVSS) y es propia de Atlassian. La empresa dice a los clientes que juzguen cómo se aplica a su entorno.

La puntuación califica el fallo como accesible a través de la red sin privilegios ni acción del usuario. Califica el efecto sobre la confidencialidad del sistema vulnerable como alto, su integridad y disponibilidad como nulos, y sobre otros sistemas como alto.

El aviso no identifica los archivos sensibles ni las configuraciones que los contienen, ni explica la calificación alta para otros sistemas.

Fuente:
THN