Atlassian corrigió una vulnerabilidad crítica (CVE-2026-21589, CVSS 9.3) que permite a un atacante sin credenciales leer archivos específicos dentro del directorio de la aplicación web. Afecta a las versiones Data Center de Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo y Crowd, además de Crucible y Fisheye. Actualiza cuanto antes, empezando por las instancias expuestas a Internet, y revisa los logs de acceso en busca de intentos de explotación.
Qué está pasando
El 5 de octubre de 2026, Atlassian publicó un aviso de seguridad sobre la vulnerabilidad CVE-2026-21589, con puntaje CVSS 9.3. Se trata de una falla de acceso arbitrario a archivos que permite a un atacante, sin necesidad de autenticarse, obtener archivos específicos ubicados dentro del directorio raíz de la aplicación web.
Para explotarla, el atacante debe conocer de antemano el nombre y la ruta exacta del archivo que quiere obtener, ya que la falla no permite listar ni recorrer el contenido de los directorios. Aun así, Atlassian advierte que algunas configuraciones pueden contener archivos sensibles, lo que aumenta el riesgo, por ejemplo si exponen credenciales o secretos.
Están afectadas todas las versiones anteriores a las corregidas de Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible y Fisheye. Atlassian indica que sus productos Cloud ya fueron parchados y que su investigación no ha encontrado evidencia de explotación.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-21589 | 9.3 | Acceso arbitrario a archivos sin autenticación: permite leer archivos específicos dentro del directorio raíz de la aplicación web, siempre que el atacante conozca su nombre y ruta exactos. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| Bitbucket Data Center | Versiones anteriores a las corregidas | 9.4.26, 10.2.8, 10.5.1 |
| Confluence Data Center | Versiones anteriores a las corregidas | 9.2.26, 10.2.19 |
| Jira Service Management Data Center | Versiones anteriores a las corregidas | 5.12.40, 10.3.26, 11.3.12 |
| Jira Software Data Center | Versiones anteriores a las corregidas | 9.12.40, 10.3.26, 11.3.12 |
| Bamboo Data Center | Versiones anteriores a las corregidas | 10.2.24, 12.1.12 |
| Crowd Data Center | Versiones anteriores a las corregidas | 6.3.7, 7.0.3, 7.1.7, 7.2.4 |
| Crucible | Versiones anteriores a las corregidas | 4.9.15 |
| Fisheye | Versiones anteriores a las corregidas | 4.9.15 |
Qué hacer ahora
- Actualiza todas las instancias afectadas a una versión corregida (Atlassian recomienda la versión LTS corregida o posterior) o a la última versión disponible, empezando por las accesibles desde Internet.
- Revisa los logs de acceso de cada instancia: decodifica la URL de cada línea de petición y busca
..inmediatamente junto a/,\o::, o bien busca en las líneas sin decodificar con la expresión regular publicada por Atlassian. - Si sospechas un compromiso, investiga las instancias afectadas, revisa y rota las credenciales o secretos que pudieron quedar expuestos y contacta a la autoridad de ciberseguridad correspondiente.
Si no puedes actualizar de inmediato
Medidas temporales: reducen la exposición, pero no reemplazan la actualización.
- Si no puedes parchar de inmediato, retira la instancia de Internet hasta que esté parchada o mitigada, incluso si requiere autenticación de usuario.
- Opción 1 (todos los productos afectados): aplica en el Web Application Firewall o en el proxy una regla que bloquee las URL que coincidan con la expresión regular
(?is).*(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2})(?:\.|%(?:25)*2e){2}(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2}|;|%(?:25)*3b|$).*y prueba que bloquee..junto a/,\o::, incluidas sus formas codificadas en URL. - Opción 2 (Confluence, Jira Service Management, Jira, Bamboo y Crowd): en cada nodo, habilita el RewriteValve de Tomcat en el elemento
<Context>de la aplicación e instala un archivorewrite.configen el directorioWEB-INFpara bloquear esas peticiones. - Opción 3 (solo Bitbucket): agrega una regla de bloqueo al inicio de
./app/WEB-INF/urlrewrite.xmlen todos los nodos, mirrors y nodos de mirror farm, y luego reinicia Bitbucket Data Center. - Respalda la instancia antes de aplicar la Opción 2 o la Opción 3. Las configuraciones exactas están en el aviso de Atlassian.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Parte por hacer un catastro: muchas empresas tienen un Jira o Confluence visible para todos, pero olvidan instancias de Bamboo, Crowd o Bitbucket instaladas por el equipo de desarrollo o heredadas de proyectos antiguos. Prioriza las que se pueden alcanzar desde Internet y, si la actualización requiere una ventana de mantención que no tienes pronto, sácalas temporalmente de la exposición pública o restringe el acceso a la VPN corporativa.
Aunque no hay evidencia de explotación, este tipo de fallas suele atraer escaneos masivos apenas se publica el aviso. Revisa los logs de acceso de los últimos días antes de actualizar y guárdalos; si encuentras patrones sospechosos, rota contraseñas de bases de datos, tokens de integración y otros secretos de configuración, ya que son justamente los archivos que un atacante intentaría leer.
Cómo te ayuda UpTech
Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.
Conocer el servicio → Servicios Gestionados TICon Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio →