Se ha publicado un exploit de prueba de concepto para la vulnerabilidad CVE-2026-21589, un fallo crítico de lectura arbitraria de archivos que afecta a varios productos autogestionados de Atlassian. Esta vulnerabilidad puede exponer archivos sensibles y, en entornos integrados con Atlassian Crowd, permitir que atacantes obtengan acceso de administrador de Jira. Atlassian emitió un aviso urgente el 5 de octubre alertando que el problema afecta a numerosos productos de Data Center.

Se ha publicado un exploit de prueba de concepto para el CVE-2026-21589, una vulnerabilidad crítica de lectura arbitraria de archivos que afecta a múltiples productos de Atlassian autogestionados. El fallo puede exponer archivos sensibles de la aplicación y, en entornos integrados con Atlassian Crowd, permitir potencialmente que los atacantes obtengan acceso de administrador de Jira.

Atlassian emitió un aviso fuera de banda el 5 de octubre. La vulnerabilidad afecta a numerosos productos de Data Center, incluidos Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible y Fisheye. La debilidad es particularmente grave porque el escenario de ataque reportado muestra que puede ser explotada remotamente sin autenticación.

watchTowr labs publicó detalles técnicos y una prueba de concepto de detección para Jira, Confluence y Bitbucket. La herramienta publicada identifica instancias vulnerables enviando solicitudes de detección seguras en lugar de crear usuarios o modificar los sistemas objetivo.

El problema existe en el componente de gestión de recursos web compartidos de Atlassian. Los investigadores descubrieron que los productos afectados convierten los dobles dos puntos en barras diagonales durante el procesamiento de la solicitud. Este comportamiento puede permitir que un atacante evite los controles de validación de rutas y realice un salto de directorio utilizando rutas especialmente construidas.

Se publica Exploit PoC para fallo crítico de Atlassian

El fallo permite el acceso a archivos dentro de la raíz web del servidor de aplicaciones, incluidos archivos en el directorio WEB-INF, que normalmente está protegido. Aunque los investigadores de watchTowr Labs informaron que la vulnerabilidad no permite necesariamente lecturas fuera del contexto de la aplicación Tomcat, los archivos dentro de la aplicación aún pueden contener datos de configuración valiosos, tokens y credenciales de servicio.

Para Jira, los investigadores demostraron el acceso al archivo web.xml de la aplicación a través de una solicitud manipulada a una ruta de recurso descargable. Se identificaron rutas similares para Confluence y Bitbucket, lo que indica que el componente vulnerable subyacente se comparte en todo el ecosistema de productos.

El impacto se vuelve mucho más grave cuando Jira está integrado con Atlassian Crowd, la plataforma de identidad centralizada y autenticación única (SSO) de la empresa. En ciertas configuraciones, los ajustes de conexión de Crowd se almacenan en un archivo llamado crowd.properties bajo WEB-INF/classes.

Ese archivo puede contener el nombre de la aplicación Crowd, la contraseña de la aplicación y la URL del servidor Crowd. Si un atacante recupera estas credenciales a través del CVE-2026-21589 y puede alcanzar el servicio de Crowd, podría ser capaz de autenticarse en las interfaces de gestión de Crowd.

Los investigadores dijeron que este acceso podría permitir a un atacante enumerar usuarios, crear una cuenta nueva y añadirla al grupo jira-administrators. El resultado sería un acceso persistente de nivel de administrador a Jira sin explotar directamente el mecanismo de autenticación de Jira.

La cadena de ataque depende de la configuración. Los despliegues de Crowd que restringen el acceso utilizando listas blancas de IP pueden dificultar la explotación directa. Sin embargo, las organizaciones con un acceso permisivo a la red interna o servicios de identidad expuestos enfrentan un riesgo mayor.

Atlassian lanzó correcciones para los productos afectados. Las versiones parcheadas incluyen Jira Software Data Center 9.12.40, 10.3.26 y 11.3.12; Jira Service Management Data Center 5.12.40, 10.3.26 y 11.3.12; Confluence Data Center 9.2.26 y 10.2.19; y Bitbucket Data Center 9.4.26, 10.2.8 y 10.5.1. También hay correcciones disponibles para Bamboo, Crowd, Crucible y Fisheye.

Debes actualizar inmediatamente a una versión corregida, restringir el acceso público a las aplicaciones de Atlassian Data Center, revisar los registros web y de aplicaciones en busca de solicitudes inusuales de descarga de recursos y rotar las contraseñas de la aplicación Crowd si los sistemas afectados pudieron haber estado expuestos.

También deberías inspeccionar las membresías de administrador de Crowd y las cuentas creadas recientemente en busca de signos de compromiso. El generador de artefactos de detección publicado por watchTowr es compatible con Jira, Confluence y Bitbucket, y puede ayudarte a determinar si una instancia sigue pareciendo vulnerable.