Atlassian publicou actualizacións de seguridade para corrixir unha vulnerabilidade crítica que afecta a varios produtos Data Center. A vulnerabilidade, identificada como CVE-2026-21589, pode permitir a un atacante non autenticado acceder a determinados ficheiros dentro do directorio raíz da aplicación web.
Atlassian publicou un aviso de seguridade relativo a CVE-2026-21589, unha vulnerabilidade crítica de acceso arbitrario a ficheiros que afecta a múltiples produtos Atlassian Data Center autoxestionados. A vulnerabilidade permite que un atacante remoto non autenticado poida acceder a ficheiros específicos dentro do directorio raíz da aplicación web en versións afectadas.
Os produtos afectados son Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible e Fisheye. Atlassian recomenda actualizar as instalacións afectadas a unha versión corrixida ou á última versión dispoñible.
A vulnerabilidade ten unha puntuación CVSS 4.0 de 9.3 e está clasificada como crítica polo fabricante. Aínda que a explotación require coñecer previamente o nome exacto e a ruta do ficheiro obxectivo, en determinadas configuracións poderían existir ficheiros sensibles que incrementen o risco para a organización.
Atlassian sinala que os produtos Cloud afectados xa foron corrixidos e que non se require actuación por parte dos clientes de Atlassian Cloud. Esta alerta diríxese especialmente a organizacións que manteñen produtos Atlassian Data Center en infraestrutura propia ou en contornas autoxestionadas.
O risco principal reside na posible exposición de información sensible contida en ficheiros accesibles desde a raíz da aplicación web. En función da configuración da contorna, esta información podería facilitar novas fases de ataque, recoñecemento interno ou abuso de credenciais e configuracións expostas.
Produtos afectados
Bitbucket Data Center.
Confluence Data Center.
Jira Service Management Data Center.
Jira Software Data Center.
Bamboo Data Center.
Crowd Data Center.
Crucible.
Fisheye.
Versións corrixidas
Atlassian recomenda actualizar cada instalación afectada a unha versión corrixida ou á última versión dispoñible. As versións corrixidas indicadas polo fabricante son as seguintes:
Bitbucket Data Center: 9.4.26, 10.2.8 e 10.5.1.
Confluence Data Center: 9.2.26 e 10.2.19.
Jira Service Management Data Center: 5.12.40, 10.3.26 e 11.3.12.
Jira Software Data Center: 9.12.40, 10.3.26 e 11.3.12.
Bamboo Data Center: 10.2.24 e 12.1.12.
Crowd Data Center: 6.3.7, 7.0.3, 7.1.7 e 7.2.4.
Crucible: 4.9.15.
Fisheye: 4.9.15.
Medidas de mitigación
A medida prioritaria é actualizar os produtos afectados a unha versión corrixida seguindo as instrucións oficiais do fabricante.
Se non é posible aplicar a actualización de maneira inmediata, recoméndase retirar a instancia de Internet sempre que sexa posible ou restrinxir o acceso externo ata completar a corrección. Esta recomendación aplica tamén a instancias protexidas mediante autenticación se se atopan accesibles publicamente.
Como medida temporal adicional, o fabricante propón aplicar regras nun WAF ou na capa de proxy para bloquear patróns de ruta asociados a acceso non autorizado a ficheiros. Para determinados produtos tamén se contemplan mitigacións específicas mediante Tomcat RewriteValve ou regras en urlrewrite.xml, segundo o produto afectado. Estas medidas deben aplicarse con cautela, probarse previamente e non deben substituír a actualización definitiva.
Recomendacións
Identificar todas as instalacións de produtos Atlassian Data Center autoxestionados.
Verificar a versión instalada en cada produto afectado.
Actualizar de forma prioritaria a unha versión corrixida ou á última versión dispoñible.
Retirar de Internet ou restrinxir o acceso externo ás instancias vulnerables ata completar a actualización.
Aplicar as mitigacións temporais recomendadas por Atlassian só cando a actualización inmediata non sexa posible.
Revisar os rexistros de acceso na procura de peticións sospeitosas relacionadas con rutas que conteñan patróns de traversal ou accesos anómalos a ficheiros.
Analizar especialmente as solicitudes que inclúan secuencias como .., /, \, :: ou as súas variantes codificadas.
Comprobar se existen ficheiros sensibles dentro do directorio raíz da aplicación web.
Revisar credenciais, segredos, configuracións e ficheiros que puidesen quedar expostos.
Manter o seguimento dos avisos oficiais de Atlassian e aplicar calquera actualización adicional que poida publicarse.
Detección e revisión de evidencias
Atlassian indica que non pode confirmar se unha instancia concreta foi afectada e recomenda que os equipos de seguridade revisen as instalacións afectadas na procura de evidencias de compromiso. Para iso, débense revisar os rexistros de acceso, descodificar as liñas de petición cando sexa necesario e buscar patróns compatibles con intentos de acceso a rutas non autorizadas.
A ausencia de evidencias nos rexistros non descarta por completo un intento de explotación. Por iso, a revisión debe complementarse coa verificación de versións, a exposición do servizo, a configuración de ficheiros sensibles e a rotación preventiva de credenciais se se considera que puido existir acceso a información crítica.
Xustificación da severidade
A alerta considérase de severidade alta porque a vulnerabilidade é crítica, afecta a múltiples produtos Atlassian Data Center amplamente utilizados en organizacións, pode ser explotada por atacantes non autenticados e permite o acceso a determinados ficheiros da aplicación web. Aínda que non se trata dunha execución remota de código, a posible exposición de información sensible pode facilitar movementos posteriores na contorna afectada.
