Si tu empresa tiene Jira, Confluence o Bitbucket instalados en sus propios servidores, hoy es buen día para actualizarlos. Atlassian publicó un aviso por una falla crítica que permite a un atacante leer ciertos archivos del servidor sin necesidad de iniciar sesión.
La falla ya tiene corrección y por ahora no hay señales de que se esté usando en ataques, así que estás a tiempo de cerrar la puerta.
¿Qué pasó?
El 5 de octubre de 2026 Atlassian publicó el aviso de seguridad de la falla CVE-2026-21589, con una calificación de gravedad de 9.3 sobre 10, nivel crítico. Un CVE es el número único con el que se identifica una vulnerabilidad en todo el mundo.
El problema permite que alguien sin cuenta acceda a archivos que están dentro de la carpeta raíz de la aplicación web. Hay un límite importante: el atacante necesita conocer de antemano el nombre y la ruta exacta del archivo, porque la falla no le deja ver la lista de lo que hay en las carpetas.
Afecta a todas las versiones de las ediciones Data Center, las que cada empresa instala en su propia infraestructura, de Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible y Fisheye. Las versiones en la nube de Atlassian ya fueron corregidas y no necesitan que hagas nada.
Según Atlassian y BleepingComputer, la empresa no tiene evidencia de que la falla se esté aprovechando en ataques reales.
¿Por qué te importa?
Estas herramientas guardan tickets, documentación interna y código fuente. Aunque la falla no da control total del servidor, leer el archivo equivocado puede revelar configuraciones o datos que le sirvan a un atacante para dar el siguiente paso.
Además, cuando una falla crítica se hace pública, los atacantes suelen estudiar el parche para encontrar servidores sin actualizar. Por eso conviene no dejarlo para la próxima semana.
¿Qué puedes hacer?
- Revisa qué productos de Atlassian Data Center tienes instalados y en qué versión.
- Actualiza a una versión corregida: Bitbucket 9.4.26, 10.2.8 o 10.5.1; Confluence 9.2.26 o 10.2.19; Jira Software 9.12.40, 10.3.26 o 11.3.12; Bamboo 10.2.24 o 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7 o 7.2.4; Crucible y Fisheye 4.9.15.
- Si usas Jira Service Management, revisa en el aviso oficial la versión corregida que corresponde a tu rama.
- Si no puedes actualizar de inmediato, aplica las medidas temporales del aviso de Atlassian, que incluyen reglas de filtrado en tu firewall de aplicaciones web o ajustes de reescritura de direcciones en el servidor.
- Mientras actualizas, limita el acceso a estos servidores desde internet a las redes que de verdad lo necesitan.
Fuentes
- Atlassian: CVE-2026-21589 – Arbitrary File Access Vulnerability Impacts Multiple Products
- BleepingComputer: Atlassian warns of critical file-access flaw in Jira, Confluence
Imagen de portada: foto de panumas nikhomkhai en Pexels.
[…] Falla crítica en Jira, Confluence y Bitbucket: actualiza tu servidor […]