Atlassian ha publicado su boletín de seguridad de octubre de 2026, el cual aborda 176 vulnerabilidades en diversos productos como Jira, Confluence, Bamboo, Bitbucket y Crowd. De estas, 162 son de severidad alta y 14 son críticas (provenientes de terceros). La empresa ya ha incluido las correcciones en las versiones lanzadas el mes pasado e insta a sus clientes a instalar las actualizaciones correspondientes.

Atlassian detectó una vulnerabilidad crítica (CVE-2026-21589) en 8 de sus productos Data Center que permite a atacantes sin acceso leer archivos sensibles del servidor. La falla tiene una calificación de 9.3/10 y ya ha sido corregida en las versiones de la nube, pero los clientes auto-alojados deben actualizar sus sistemas inmediatamente. Como medida temporal, la empresa recomienda restringir el acceso externo o aplicar reglas de bloqueo en el firewall.

Se ha publicado un exploit de prueba de concepto para la vulnerabilidad CVE-2026-21589, un fallo crítico de lectura arbitraria de archivos que afecta a varios productos autogestionados de Atlassian. Esta vulnerabilidad puede exponer archivos sensibles y, en entornos integrados con Atlassian Crowd, permitir que atacantes obtengan acceso de administrador de Jira. Atlassian emitió un aviso urgente el 5 de octubre alertando que el problema afecta a numerosos productos de Data Center.

Atlassian ha revelado una vulnerabilidad crítica de acceso arbitrario a archivos (CVE-2026-21589) que afecta a ocho de sus productos, entre los que se incluyen Jira, Confluence y Bitbucket. Con una puntuación CVSS de 9.3, este fallo permite que atacantes no autenticados accedan a archivos específicos en el directorio raíz web de las aplicaciones afectadas.

Dos firmas de seguridad descubrieron vulnerabilidades en el asistente Rovo de Atlassian que permitían a atacantes extraer datos privados de Jira y Confluence hacia servidores externos. Una falla mediante enlaces maliciosos ya fue corregida por Atlassian, mientras que otra, basada en instrucciones ocultas en archivos cargados, permanecía sin confirmación de cierre al momento del reporte. La mitigación recomendada es restringir el acceso de Rovo a aplicaciones y grupos específicos.

Un ingeniero de Atlassian, despedido debido a la IA tras casi una década en la empresa, ha publicado un vídeo viral detallando su experiencia laboral en el gigante del software.