Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Ilustración conceptual de servidores Atlassian y lectura de un archivo concreto.

Qué se ha confirmado

CERT-EU informó el 7 de octubre de un aviso que Atlassian había publicado el 5 de octubre sobre acceso arbitrario a archivos.

El aviso abarca Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo y Crowd Data Center, además de Crucible y Fisheye.

CVE-2026-21589 tiene una puntuación CVSS de 9.3 y permite a un atacante sin autenticación acceder a archivos concretos dentro de la raíz de la aplicación web.

La explotación requiere conocer de antemano el nombre y la ruta exactos del archivo; el fallo no permite enumerar ni listar directorios.

Atlassian indica que los productos Cloud afectados ya están corregidos y que su investigación no ha encontrado pruebas de explotación.

El aviso enumera versiones corregidas distintas por producto; por ejemplo, Bitbucket Data Center 9.4.26, 10.2.8 y 10.5.1, y Confluence Data Center 9.2.26 y 10.2.19.

Si no se puede actualizar de inmediato, el fabricante plantea restringir la exposición a internet o aplicar reglas específicas en el proxy, el WAF o la configuración del producto; CERT-EU recomienda analizar registros de acceso.

Análisis de Defensops

La exposición real depende de qué productos y versiones estén desplegados, si la instancia es alcanzable desde internet y qué archivos sensibles se hayan colocado en la raíz web. El requisito de conocer una ruta limita la búsqueda indiscriminada, pero las rutas previsibles o filtradas pueden hacer relevante el riesgo en una instalación concreta. No debe confundirse este fallo con acceso general al sistema de archivos.

El alcance multiproducto obliga a revisar el inventario por instalación, incluidos nodos y réplicas, antes de concluir que una sola actualización cierra el asunto. La ausencia de explotación detectada por Atlassian no equivale a una garantía para cada entorno. Las mitigaciones de URL requieren pruebas con variantes codificadas y deben tratarse como una medida transitoria mientras se aplican las versiones corregidas.

Prioridades de revisión

Identificar primero las instancias de los ocho productos citados, anotar su versión y exposición externa, y comparar cada rama con la tabla de versiones corregidas del aviso del fabricante.

Actualizar con prioridad las instalaciones accesibles desde internet a una versión corregida o posterior, verificando después en cada nodo que el cambio de versión quedó aplicado.

Si una actualización inmediata no es viable, retirar temporalmente la exposición pública o desplegar la mitigación específica del producto; probar que el filtro bloquea las rutas con secuencias de retroceso y sus variantes codificadas.

Revisar los registros de acceso históricos de las instancias afectadas tras decodificar las solicitudes y buscar rutas con retroceso; conservar evidencia y, ante indicios de acceso a archivos sensibles, investigar y rotar los secretos potencialmente expuestos.

Antes de modificar reglas de Tomcat o Bitbucket, respaldar la configuración y comprobar que la regla se aplica en todos los nodos y espejos pertinentes.

Qué no se ha confirmado

El aviso no identifica instalaciones concretas comprometidas ni confirma que los atacantes conozcan rutas de archivos sensibles en un entorno determinado.

La presencia y sensibilidad de archivos accesibles varía según la configuración de cada instalación; requiere comprobación local.

Fuente

CERT-EU. Fecha indicada: 2026-10-07.