CISA KEV: CVE-2026-21589 · Atlassian Multiple Products Files or Directories Accessible to External Parties Vulnerability

Atlassian ha publicado una vulnerabilidad de acceso a archivos en múltiples productos (Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible y Fisheye) que permite a atacantes no autenticados acceder a ficheros específicos del directorio raíz de la aplicación web. La vulnerabilidad está incluida en el CISA KEV con explotación activa confirmada.

→ Aplica las mitigaciones del proveedor siguiendo la guía BOD 26-04 de CISA; si no hay mitigaciones disponibles, cesa el uso del producto o migra a alternativas en la nube.

⚡ Weekly Recap: Helpdesk 0-Days, Rogue Certs, ShinyHunters Arrest, AI-Fooling Malware and More

Resumen semanal de ciberseguridad con varios incidentes graves: una falla crítica en productos Atlassian Data Center (CVE-2026-21589, CVSS 9.3) está siendo explotada en la naturaleza solo horas después de su divulgación; el CEO de una firma de recuperación de ransomware fue acusado de estafa por cobrar tarifas infladas mientras pagaba los rescates secretamente; detectan una nueva variante del exploit kit DarkSword para iOS con capacidades mejoradas de robo de datos; y el FBI realiza detenciones relacionadas con el grupo ShinyHunters y disrumpe herramientas atribuidas al grupo APT chino Flax Typhoon.

Attackers Target Critical Atlassian Vulnerability Within Hours of PoC Publication

Actores de amenaza han comenzado a atacar CVE-2026-21589, una vulnerabilidad crítica en los productos Data Center autogestionados de Atlassian, poco después de la publicación de un PoC.

Exploit para falla crítica de Atlassian que permite acceso admin a Jira

Se ha publicado un exploit de prueba de concepto para CVE-2026-21589, una vulnerabilidad crítica de lectura arbitraria de archivos en múltiples productos autogestionados de Atlassian (Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible y Fisheye). El fallo permite acceso remoto sin autenticación y, en entornos con Atlassian Crowd integrado, obtener privilegios de administrador en Jira. Con cerca de 700.000 instancias de Confluence expuestas en Internet y potencialmente cientos de miles de sistemas vulnerables en total, el alcance es masivo.

→ Actualiza inmediatamente todos los productos Atlassian Data Center afectados a las versiones corregidas indicadas por Atlassian: Confluence a 9.2.26/10.2.19 o posterior, Jira a 9.12.40/10.3.26/11.3.12 o posterior, Bitbucket a 9.4.26/10.2.8/10.5.1 o posterior, y el resto según la tabla publicada.

Atacantes aprovechan un fallo crítico en Atlassian Data Center tras publicarse una prueba de concepto

La vulnerabilidad crítica CVE-2026-21589 en productos Atlassian Data Center registra intentos de explotación activos pocas horas después de publicarse una prueba de concepto. El fallo permite leer ficheros sin autenticación (CVSS 9,3) y, en entornos con integración Crowd, facilita escalada hasta permisos de administrador. Afecta a Jira, Confluence, Bitbucket, Bamboo y otros productos Data Center ampliamente utilizados en organizaciones.

→ Actualiza inmediatamente Atlassian Data Center a la versión parcheada indicada por Atlassian y busca evidencias de acceso a ficheros WEB-INF/classes/crowd.properties en los registros.

Atlassian Data Center Flaw Draws Exploitation Attempts Within Two Hours of Public Details

Se ha detectado explotación activa de un fallo crítico en productos Atlassian Data Center (CVE-2026-21589, CVSS 9.3) apenas dos horas después de que se publicaran detalles técnicos. La vulnerabilidad permite a atacantes no autenticados acceder a archivos arbitrarios dentro del directorio raíz de la aplicación, incluyendo credenciales y tokens de autenticación.

→ Actualiza a las versiones patched disponibles para cada producto: Bitbucket 9.4.26/10.2.8/10.5.1, Confluence 9.2.26/10.2.19, Jira Service Management 5.12.40/10.3.26/11.3.12, Jira Software 9.12.40/10.3.26/11.3.12, Bamboo 10.2.24/12.1.12, Crowd 6.3.7/7.0.3/7.1.7/7.2.4, Crucible/Fisheye 4.9.15, o aplica las mitigaciones temporales (WAF, RewriteValve).