Atlassian CVE-2026-21589: fallo crítico sin inicio de sesión en Jira, Confluence y Bitbucket Data Center ya sufre intentos de explotación

Introducción

El 5 de octubre de 2026, Atlassian publicó un aviso de seguridad fuera de su calendario habitual para la CVE-2026-21589, una vulnerabilidad de acceso arbitrario a archivos que afecta a todas las versiones de ocho productos autoalojados: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo y Crowd (todos en su edición Data Center), además de Crucible y Fisheye. La propia Atlassian la califica como crítica (CVSS 4.0: 9,3). Un atacante sin iniciar sesión puede leer archivos dentro del directorio raíz de la aplicación web.

Lo que hizo urgente el caso fue la velocidad. Un día después del aviso, watchTowr Labs publicó su análisis técnico. Pocas horas después, la empresa de inteligencia de amenazas Previdian informó de que ya estaban llegando intentos de explotación a su red de honeypots.

Si tu empresa, o un proveedor que trabaja para ti, mantiene Jira, Confluence o Bitbucket en servidores propios o en su propia cuenta en la nube (AWS, Azure, etc.), este artículo es para ti. Resumimos lo que se ha confirmado, qué versiones corrigen el problema, qué hacer si no puedes actualizar hoy y cómo buscar señales de ataque en los registros. No publicamos código de explotación ni pasos de ataque. Toda la información procede de las fuentes que aparecen al final.

Lo que ha confirmado Atlassian

Según el aviso oficial:

• La vulnerabilidad permite a un atacante no autenticado acceder a archivos concretos dentro del directorio raíz de la aplicación web.
• Para explotarla hay que conocer el nombre y la ruta exactos del archivo. La vulnerabilidad no permite listar el contenido de los directorios.
• "En algunas configuraciones, puede haber archivos sensibles que aumenten tu riesgo", afirma la empresa.
• Los productos de Atlassian Cloud afectados ya están corregidos, y la investigación de Atlassian no encontró pruebas de explotación. Los clientes de Cloud no tienen que hacer nada.
• Atlassian afirma que no puede confirmar si las instancias de un cliente se han visto afectadas y recomienda que el equipo de seguridad revise todas las instalaciones.

Por qué "solo leer archivos" merece un 9,3

A primera vista, leer archivos de la carpeta de la aplicación parece menos grave que ejecutar código. El análisis de watchTowr muestra por qué no es tan sencillo:

1. Una causa común. Los ocho productos comparten la misma biblioteca, atlassian-plugins-webresource. Su lógica de tratamiento de rutas permitía saltarse las protecciones contra path traversal. Por eso el mismo fallo aparece en productos tan distintos.
2. Alcance. En las pruebas de watchTowr con Jira, Confluence y Bitbucket, fue posible leer cualquier archivo dentro del servidor de aplicaciones (sin salir del contexto de Tomcat), incluidos archivos normalmente protegidos de la carpeta WEB-INF.
3. El vínculo con Crowd. Cuando Jira usa Atlassian Crowd (el servicio central de identidad y SSO de Atlassian), la configuración se guarda en WEB-INF/classes/crowd.properties. Según watchTowr, ese archivo almacena el nombre y la contraseña de la aplicación en texto plano. Con esas credenciales, un atacante puede hablar directamente con Crowd, listar usuarios, crear cuentas y añadirlas a grupos de administración. En el laboratorio de watchTowr, esto llevó a obtener acceso de administrador en Jira.

watchTowr señala que, si Crowd solo acepta conexiones desde una lista de direcciones IP permitidas, este escenario se vuelve mucho más difícil. La empresa creó una prueba de concepto completa, pero no la publicó. Solo difundió una herramienta que comprueba si una instancia de Jira, Confluence o Bitbucket es vulnerable.

La escala también preocupa. Según watchTowr, una búsqueda en internet muestra algo menos de 700.000 instancias solo de Confluence.

Cronología

• 5 de octubre: Atlassian publica el aviso y las versiones corregidas.
• 6 de octubre: watchTowr publica su análisis técnico. Horas después, Previdian informa de intentos de explotación en sus honeypots, según Help Net Security.
• 7 de octubre: VulnCheck añade la CVE-2026-21589 a su propia lista de vulnerabilidades explotadas (KEV) tras observar actividad contra Bamboo Data Center, según Infosecurity Magazine.
• 12 de octubre (hoy): la vulnerabilidad todavía no figura en el catálogo KEV de la CISA. Lo hemos comprobado en la versión 2026.10.08 del catálogo.

Un punto importante: los informes públicos hablan de intentos de explotación detectados en honeypots. No hemos encontrado informes públicos de víctimas confirmadas. Eso no es motivo para esperar. Las instancias expuestas a internet deben tratarse como objetivos.

Versiones corregidas

Atlassian recomienda actualizar cada instalación a una de las versiones siguientes o a la más reciente. Todas las versiones anteriores están afectadas.

Atlassian recomienda pasar a la versión LTS corregida o a una posterior. La política actual de la empresa es publicar nuevas versiones de mantenimiento en lugar de parches binarios.

Si no puedes actualizar hoy

Atlassian enumera medidas temporales. La primera y más sencilla es sacar la instancia de internet hasta aplicar la corrección o una mitigación. Esto vale también para las instancias con inicio de sesión, porque la vulnerabilidad no requiere autenticación.

Si la instancia tiene que seguir accesible, hay tres opciones oficiales:

1. Una regla en el WAF o en el proxy inverso (todos los productos): bloquear las URL que coincidan con la expresión regular publicada por Atlassian, que frena .. inmediatamente junto a /, \ o ::, incluidas sus formas codificadas en URL. Después de aplicarla, comprueba que el bloqueo funciona.
2. RewriteValve de Tomcat (Confluence, Jira, JSM, Bamboo y Crowd): una regla en rewrite.config, aplicada nodo a nodo en el clúster y con copia de seguridad previa.
3. Una regla en urlrewrite.xml (solo Bitbucket): aplicada en todos los nodos, réplicas (mirrors) y mirror farms.

Usa el texto exacto del aviso de Atlassian para configurar estas reglas y no copies versiones de terceros. Recuerda que una mitigación es un puente, no una solución. El objetivo sigue siendo actualizar.

Cómo comprobar si hubo intentos de ataque

Atlassian aconseja buscar pruebas en los registros de acceso:

• decodificar cada línea de petición (hasta dos pasadas de decodificación de URL) y buscar .. inmediatamente junto a /, \ o ::; o
• buscar en las líneas sin decodificar con la misma expresión regular del aviso.

En la práctica, esto es lo que recomendamos a nuestros clientes:

1. Haz inventario. Enumera todas las instancias Data Center, Crucible y Fisheye, incluidas las de pruebas y las que un proveedor gestiona por ti.
2. Revisa los registros desde el 5 de octubre, y mejor desde antes. Si tus registros rotan rápido, cópialos ya a un lugar centralizado.
3. Si usas Crowd, cambia las contraseñas de aplicación configuradas en crowd.properties y en integraciones similares, sobre todo si encuentras peticiones sospechosas. Revisa los usuarios y grupos de administración creados o modificados recientemente.
4. Restringe Crowd a una lista de direcciones IP permitidas, como sugiere la propia watchTowr.
5. Busca otros secretos que puedan estar en archivos de configuración dentro de la carpeta de la aplicación.
6. Si encuentras indicios de compromiso, conserva los registros antes de tocar el servidor y avisa a tu equipo o a un socio de respuesta a incidentes.

Conclusión

La CVE-2026-21589 reúne tres factores que suelen acabar mal: no requiere inicio de sesión, afecta a todas las versiones de productos muy utilizados y atrajo intentos de explotación a las pocas horas de publicarse el análisis técnico. Los usuarios de Atlassian Cloud no tienen que hacer nada. Quien mantenga Jira, Confluence, Bitbucket, Bamboo o Crowd en servidores propios debe actualizar ya o, como mínimo, sacar la instancia de internet y aplicar la mitigación oficial, y después revisar los registros y las credenciales de Crowd.

Actualizaremos este artículo si la CISA incluye la vulnerabilidad en el KEV o si Atlassian publica nuevos datos.

Fuentes

• Atlassian: CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products (aviso oficial, 5/10/2026)
• watchTowr Labs: Atlassian Jira, Confluence (and more) Pre-Auth Arbitrary File Read CVE-2026-21589 (análisis técnico, 6/10/2026)
• Help Net Security: Exploitation attempts against critical Atlassian flaw have begun (CVE-2026-21589)
• Infosecurity Magazine: Critical Flaw in Multiple Atlassian Products Exploited in the Wild
• CISA: Known Exploited Vulnerabilities Catalog (versión 2026.10.08 consultada el 12/10/2026)

---

¿Quieres llevar esto a tu negocio?

KGA IT ayuda a pequeñas y medianas empresas a implementar asistentes de IA, automatizaciones y sitios web. La consulta es gratuita y respondemos en menos de 24 horas. Planes desde ¥5.000/mes.

• Teléfono: 080-9732-1062
• Correo: kga-it@outlook.com
• Página de contacto: kga-it.com/es/contact