CVE-2026-21589 en Atlassian Data Center: riesgo de fuga de datos y qué hacer

CVE-2026-21589 es una vulnerabilidad crítica (CVSS 9.3) en ocho productos de Atlassian Data Center que permite a un atacante remoto no autenticado leer archivos que ya conozca en el directorio raíz de la aplicación web; afecta tanto a versiones con soporte como a parte de las versiones heredadas, incluidas las ediciones Server; Atlassian ya ha actualizado sus servicios en la nube, y a los propietarios de instalaciones locales se les recomienda actualizar de inmediato o aislar y proteger temporalmente los sistemas mediante reglas en el WAF y las configuraciones de reescritura de URL adjuntas al producto.

Detalles técnicos de CVE-2026-21589

Atlassian describe el problema como una vulnerabilidad de tipo path traversal: una petición especialmente formada con una secuencia del tipo .. junto a los símbolos /, \\ o :: permite obtener acceso a archivos ubicados en el directorio de despliegue de la aplicación web. Al mismo tiempo:

• el ataque es posible completamente de forma remota, a través de la red;
• no se requiere autenticación;
• el atacante debe conocer de antemano la ruta exacta y el nombre del archivo;
• no es posible enumerar el contenido de los directorios mediante esta vulnerabilidad.

La descripción oficial y las recomendaciones se han publicado en el advisory de Atlassian: CVE-2026-21589: arbitrary file access vulnerability impacts multiple products. El CVE también está registrado en la base del CVE Project: entrada CVE-2026-21589 y en NVD mediante el enlace estándar NVD: CVE-2026-21589.

Según Atlassian, se han visto afectadas todas las versiones anteriores a las corregidas (indicadas en los tickets y en el advisory) de los siguientes productos Data Center:

• Bitbucket Data Center: véase el ticket BSERV-20604;
• Confluence Data Center: ticket CONFSERVER-104488;
• Jira Software Data Center: ticket JRASERVER-79546;
• Jira Service Management Data Center: ticket JSDSERVER-16809;
• Bamboo Data Center: ticket BAM-26567;
• Crowd Data Center: ticket CWD-6610;
• Crucible: ticket CRUC-8741;
• Fisheye: ticket FE-7583.

Las versiones cloud de Atlassian ya se han actualizado; Bitbucket Cloud no es vulnerable. Para los clientes cloud no se requiere ninguna acción, toda la atención debe centrarse en los despliegues locales.

Aspectos problemáticos con las versiones y las ediciones Server

En torno al rango de versiones afectadas y corregidas existe confusión entre el advisory y las entradas de CVE:

• para Crowd, en el ticket CWD-6610 un campo indica como versión corregida de la rama 7.1 la 7.1.7, mientras que la tabla de ese mismo ticket muestra simultáneamente la 7.1.6 como corregida y como vulnerable;
• en la entrada JSON del CVE para Crowd se indica la versión 7.1.1 como referencia, aunque según las release notes de Crowd 7.1 esta versión está fechada en noviembre de 2025, es decir, mucho antes de la divulgación pública de la vulnerabilidad;
• para Bamboo en la entrada del CVE aparecen dos variantes del número de versión: 10.2.4 y 10.2.24, lo que dificulta determinar de forma inequívoca la versión segura.

Un problema aparte es la situación de las ediciones Server. En la entrada del CVE Atlassian marca como vulnerables todas las versiones de Bamboo Server, Bitbucket Server, Confluence Server y Crowd Server, sin indicar para ellas ninguna versión corregida. Para Jira Software Server, Jira Service Management Server, Crucible Server y Fisheye Server se señalan versiones a partir de las cuales los productos se consideran no vulnerables (por ejemplo, Jira Software Server desde la 9.12.40), pero no se aclara si la ejecución de estas versiones es admisible según las condiciones de las licencias Server.

Además, según las release notes generales de Crowd, la última versión Server de Crowd es la 5.2 (septiembre de 2023), por lo que ninguna de las versiones corregidas enumeradas de Crowd pertenece a la línea Server. Para los propietarios de dichas instalaciones esto implica la ausencia de un parche en la práctica y la necesidad de medidas compensatorias.

Según CVSS v4, la vulnerabilidad recibe una puntuación de 9.3: vector — red, sin privilegios y sin interacción del usuario; el impacto en la confidencialidad del propio sistema vulnerable es alto, en la integridad y disponibilidad es inexistente, mientras que la influencia en otros sistemas también se evalúa como alta. Esto último refleja indirectamente el riesgo de que la lectura de archivos en el directorio raíz de la aplicación web pueda conducir a la revelación de credenciales, tokens o configuraciones relacionadas con otros sistemas.

Contexto de amenazas: precedente con CVE-2021-26086

El path traversal en productos Atlassian ya ha sido objeto de explotación. La vulnerabilidad CVE-2021-26086 en Jira Server y Data Center permitía a atacantes remotos leer archivos individuales y posteriormente fue añadida al catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA. Los detalles están disponibles en la entrada NVD: CVE-2021-26086.

Este precedente es importante por dos motivos:

• confirma el interés real de los atacantes por las fugas de archivos desde plataformas Atlassian, que a menudo almacenan artefactos de desarrollo, claves de integraciones y documentación sobre la infraestructura;
• demuestra que incluso la lectura «limitada» de archivos individuales puede ser lo suficientemente grave como para entrar en las listas prioritarias de vulnerabilidades a nivel de los reguladores gubernamentales.

En el advisory actual, Atlassian declara que no ha detectado indicios de explotación de CVE-2026-21589 en el entorno cloud y que no puede confirmar si se han visto comprometidas instalaciones locales concretas. La ausencia de información sobre ataques reales no reduce el riesgo, dado el nivel crítico de la puntuación CVSS y el historial de errores similares ya explotados.

Evaluación del impacto en las organizaciones

Se ve afectado todo el espectro de organizaciones que:

• explotan Atlassian Data Center o aún no han migrado de Server a ediciones más modernas;
• hacen que estas instancias sean accesibles desde internet (incluidos los escenarios con autenticación obligatoria);
• utilizan Atlassian como elemento central de la cadena de desarrollo y operación (gestión de tareas, repositorios, CI/CD, gestión de accesos).

Aunque la vulnerabilidad se limita formalmente a la lectura de archivos dentro del directorio raíz de la aplicación web, en la práctica en dichos directorios a menudo se encuentran:

• archivos de configuración con parámetros de conexión a bases de datos y servicios externos;
• scripts y plantillas a partir de cuyo contenido puede reconstruirse la estructura del sistema o los mecanismos de autenticación;
• registros y archivos temporales que contienen fragmentos de peticiones, tokens y rutas internas.

La combinación de estos datos puede conducir a:

• una escalada de acceso desde la lectura de archivos hasta la toma de control de la base de datos, de una cuenta de integración u otro servicio;
• la fuga de código fuente, documentación interna y otra propiedad intelectual a través de la cadena de dependencias (por ejemplo, con acceso a Bitbucket o Bamboo);
• un refuerzo de los ataques a la cadena de suministro si, a través de una instancia vulnerable de Atlassian, el atacante obtiene visibilidad sobre el proceso de compilación y lanzamiento del producto.

La incertidumbre sobre los límites de las versiones seguras y el estado de las ediciones Server crea un riesgo operativo adicional: a los administradores les resulta más difícil responder rápidamente a la pregunta «¿es vulnerable esta instancia concreta?» y, por tanto, les resulta más complicado priorizar las acciones y comunicar el riesgo al negocio.

Recomendaciones prácticas para reducir riesgos

1. La actualización como escenario prioritario

• Oriéntese por el advisory oficial de Atlassian: advisory sobre CVE-2026-21589 y los tickets relacionados de los productos (BSERV-20604, CONFSERVER-104488, etc.).
• Para cada producto determine la versión actual y compárela con el valor indicado como «Fixed in» en el ticket correspondiente.
• La opción preferente es actualizar a la versión LTS corregida indicada o a una más reciente si también está marcada como que contiene el fix.
• Para las ediciones Server obsoletas para las que no hay correcciones, considere una migración acelerada a Data Center o cloud, o bien trasladar dichas instancias a un entorno estrictamente controlado y aislado.

2. Restricciones de acceso a nivel de red

• Si no es posible actualizar de inmediato, por recomendación de Atlassian, siempre que se pueda, desconecte temporalmente la instancia de la red externa.
• Para los sistemas críticos que no pueden apagarse, limite el acceso solo a redes internas y VPN, excluyendo la publicación directa en internet.
• Aplique en el WAF o en el proxy inverso una regla que bloquee las peticiones en las que, tras una o dos decodificaciones de URL, aparezca la secuencia .. inmediatamente junto a /, \\ o ::. Atlassian indica la expresión concreta en el advisory.

3. Reglas temporales a nivel de las aplicaciones

Atlassian propone mitigaciones adicionales a nivel de las propias aplicaciones (no sustituyen a la actualización):

• para Confluence, Jira Software, Jira Service Management, Bamboo, Crowd: uso de Tomcat RewriteValve con una regla que bloquee los patrones descritos anteriormente en la URL; para activarla será necesario modificar la configuración en cada nodo y reiniciar el servicio;
• para Bitbucket: añadir una regla en urlrewrite.xml en cada nodo y réplica, también con un reinicio posterior;
• para Crucible y Fisheye solo están disponibles medidas externas (WAF/proxy inverso).

Estas medidas reducen la probabilidad de explotación exitosa, pero no eliminan la vulnerabilidad en sí. Tras instalar el parche, conviene conservarlas como una capa de protección adicional.

4. Análisis de registros en busca de posible explotación

Atlassian indica directamente que no puede asegurarse de si instancias concretas han sufrido ataques y propone a los administradores que verifiquen ellos mismos los registros.

• Extraiga los registros de acceso del servidor web y/o los registros integrados del producto para el periodo que le interese.
• Normalice las peticiones: realice la decodificación de URL hasta dos veces para identificar intentos de evasión mediante doble codificación.
• Realice la búsqueda comprobando la presencia de .. inmediatamente adyacente a /, \\ o ::, o bien aplique la misma expresión regular que se utiliza en la regla de bloqueo de Atlassian.

El advisory no ofrece criterios para distinguir entre intentos fallidos y exitosos. En la práctica, resulta útil analizar adicionalmente:

• los códigos de respuesta del servidor (son sospechosas las series de respuestas 200/206 en rutas atípicas);
• los tamaños de las respuestas y sus anomalías en comparación con los recursos estáticos habituales;
• la correlación con actividad posterior desde la misma IP (autenticación, cambios de configuración, descarga de artefactos).

Si se detectan accesos sospechosos, es lógico planificar una investigación en profundidad: inventario de los archivos que teóricamente podrían haberse leído, revisión de credenciales y claves, y posible cambio forzoso de secretos.

5. Priorización de la respuesta

Dado el carácter no autenticado de la vulnerabilidad, el alto impacto en la confidencialidad y la posible influencia en otros sistemas, es razonable:

• incluir todas las instancias de Atlassian accesibles desde internet en la máxima prioridad para la actualización y la implementación de mitigaciones;
• prestar especial atención a las instalaciones que dan soporte a procesos de desarrollo y compilación, así como a las que almacenan artefactos sensibles (repositorios, artefactos de compilación, configuraciones de acceso);
• eliminar la incertidumbre relativa a las versiones en el plazo más breve posible: contrastar con los tickets, el advisory y, si es necesario, el soporte de Atlassian respecto a las versiones «grises», como las variantes mencionadas de Crowd y Bamboo.

La principal conclusión práctica es que CVE-2026-21589 debe considerarse no como un defecto local de un solo producto, sino como un riesgo crítico de fuga de configuraciones y datos en una parte clave de la infraestructura de desarrollo. Las organizaciones deben inventariar de inmediato todas las instancias locales de Atlassian, actualizarlas a versiones seguras o aislarlas, activar los filtros recomendados en el WAF y a nivel de las aplicaciones y llevar a cabo un análisis específico de los registros en busca de peticiones sospechosas con patrones de path traversal.