Publicado en

Vulnerabilidad Crítica en Atlassian: Riesgo de Acceso No Autorizado a Archivos en 8 Productos

•Publicado enVulnerabilidades

Atlassian Identifica Fallo Crítico de Seguridad (CVE-2026-21589) con Puntuación de 9.3

Atlassian ha emitido una alerta urgente tras el descubrimiento de una vulnerabilidad crítica que afecta a ocho de sus principales productos en versiones Data Center y Server (auto-alojados). Identificada como CVE-2026-21589, esta brecha permite que atacantes no autenticados —es decir, sin necesidad de credenciales de acceso— puedan leer archivos específicos dentro del directorio raíz de la aplicación web.

El fallo ha sido calificado con una puntuación de 9.3 sobre 10 en el sistema CVSS, lo que subraya la gravedad del riesgo para la confidencialidad de la información corporativa. Aunque los servicios en la nube (Cloud) de Atlassian ya han sido parcheados, las organizaciones que gestionan su propia infraestructura deben actuar de inmediato.

¿En qué consiste el ataque de ‘Path Traversal’?

Técnicamente, esta vulnerabilidad se clasifica como un path traversal (salto de directorio). En este tipo de ataque, un actor malintencionado utiliza secuencias de caracteres especiales (como ../) en las solicitudes URL para engañar al servidor y acceder a archivos fuera de las carpetas permitidas.

Para que el ataque tenga éxito, el atacante debe conocer el nombre exacto y la ruta del archivo que desea consultar, ya que el fallo no permite listar el contenido completo de los directorios. No obstante, el acceso a archivos de configuración o registros del sistema podría exponer datos extremadamente sensibles.

Productos Afectados y Versiones Corregidas

La vulnerabilidad afecta a las versiones anteriores a las correcciones indicadas a continuación:

  • Bitbucket Data Center: Corregido en 9.4.26, 10.2.8, 10.5.1
  • Confluence Data Center: Corregido en 9.2.26, 10.2.19
  • Jira Software / Service Management: Corregido en 9.12.40, 10.3.26, 11.3.12
  • Bamboo Data Center: Corregido en 10.2.24, 12.1.12
  • Crowd Data Center: Corregido en 6.3.7, 7.0.3, 7.1.7, 7.2.4
  • Crucible y Fisheye: Corregido en 4.9.15

Recomendaciones de Seguridad para Empresas

Desde el equipo de ciberseguridad de Intedya, recomendamos seguir estos pasos de forma prioritaria:

  1. Actualización Inmediata: Migrar a las versiones Long-Term Support (LTS) indicadas por el fabricante. Esta es la única solución definitiva.
  2. Mitigación Temporal: Si no puede actualizar de inmediato, implemente reglas en su Web Application Firewall (WAF) o Proxy Inverso para bloquear cualquier solicitud que contenga la secuencia .. junto a /, \ o ::.
  3. Auditoría de Registros: Revise los logs de acceso de sus servidores en busca de intentos de explotación. Busque patrones de decodificación de URL que intenten ocultar caracteres de salto de directorio.
  4. Aislamiento: Si una instancia es accesible desde el internet público y no puede ser parcheada hoy mismo, considere restringir el acceso a través de una VPN o ponerla fuera de línea temporalmente.

La gestión de vulnerabilidades es un pilar fundamental de la norma ISO/IEC 27001. Mantener el software actualizado no es solo una tarea técnica, sino una medida crítica de cumplimiento y protección de la continuidad del negocio.

Fuentes