CISA confirma explotación de vulnerabilidad en Jira y Confluence

La CISA, agencia de ciberseguridad del gobierno estadounidense, incluyó el jueves 15 de octubre la vulnerabilidad CVE-2026-21589 en su catálogo de vulnerabilidades explotadas activamente. El defecto afecta a las versiones Data Center de los productos de Atlassian, incluyendo Jira, Confluence y Bitbucket, y permite que un atacante sin acceso pueda leer archivos del servidor. Según el aviso de la agencia, la inclusión se basó en evidencia de explotación activa.

Atlassian divulgó la vulnerabilidad el 5 de octubre con una nota de 9.3 en la escala CVSS 4.0. La falla afecta a ocho productos autogestionados: Jira, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible y Fisheye. Atlassian Cloud no se ve afectado.

De lectura de archivo a administrador

Leer archivos puede parecer menos grave que ejecutar código, y es por eso que el caso merece atención. watchTowr, una empresa de investigación ofensiva que publicó una prueba de concepto funcional, mostró el camino. Las instalaciones de Jira integradas con Crowd, el directorio de identidades de Atlassian, guardan en el archivo crowd.properties el nombre de la aplicación, la contraseña en texto claro y la dirección del servidor Crowd. Con estos datos, los investigadores crearon un nuevo usuario en Crowd, lo agregaron al grupo de administradores de Jira y obtuvieron control administrativo de la instancia.

Previdian, que opera sensores tipo honeypot, informó haber registrado intentos de explotación ya el 6 de octubre, un día después del aviso de Atlassian. A partir de ahí, la secuencia fue la habitual: código público, modelos de escaneo automatizado y tráfico hostil a gran escala. La inclusión en el catálogo de la CISA formaliza lo que estos sensores ya mostraban y obliga a las agencias civiles federales estadounidenses a corregir los sistemas dentro del plazo establecido por la agencia.

Las versiones corregidas

Las tablas publicadas a partir del aviso de Atlassian indican como versiones seguras, entre otras: Jira Software 9.12.40, 10.3.26 y 11.3.12; Jira Service Management 5.12.40, 10.3.26 y 11.3.12; Confluence 9.2.26 y 10.2.19; Bitbucket 9.4.26, 10.2.8 y 10.5.1; Crowd 6.3.7, 7.0.3, 7.1.7 y 7.2.4. Para Bamboo, Crucible y Fisheye, la referencia es el propio boletín del fabricante.

La exposición real depende de la arquitectura. Según watchTowr, si Crowd acepta conexiones solo de una lista de IP autorizadas, el escenario de escalada se vuelve mucho más difícil, incluso con el archivo leído. Instancias que exponen Jira a Internet sin ningún filtro son el objetivo obvio de los escaneos.

Atlassian ofrece mitigaciones temporales, pero describe estas medidas como limitadas y no sustitutas de la actualización. Para quienes usan Crowd, la recomendación de los investigadores es doble: cambiar las contraseñas de aplicación guardadas en crowd.properties y restringir el acceso a Crowd a una lista de direcciones IP autorizadas. Corregir sin cambiar la contraseña deja abierta la puerta para quienes ya leyeron el archivo antes del parche.

Dónde se concentra el riesgo

El público expuesto es precisamente el que decidió no ir a la nube. Empresas y gobiernos que mantienen Jira y Confluence en servidores propios lo hacen, en general, por exigencias de soberanía de datos o de regulación sectorial, y son estos entornos los que cargan el histórico de proyectos, credenciales de integración y documentación técnica interna.

En Estados Unidos, la presión proviene del plazo federal y de los contratistas del gobierno, que suelen heredar las exigencias de la CISA en contrato. En Australia, sede de Atlassian, los organismos públicos y operadores de infraestructura crítica responden al Australian Cyber Security Centre, y la proximidad al fabricante no reduce la exposición: las versiones Data Center son las mismas en Sídney y en Washington. En Alemania y en el resto de la Unión Europea, la directiva NIS2 obliga a los operadores esenciales a gestionar vulnerabilidades conocidas, y una falla listada como explorada por la CISA sirve como prueba de que el riesgo era conocido.

En Brasil, el canal más directo son las consultorías y fábricas de software que mantienen instancias Data Center para hospedar proyectos de clientes. En esos entornos, un solo Jira concentra repositorios y credenciales de varios contratistas, y una intrusión exitosa atraviesa la frontera entre proveedor y cliente. Lo mismo ocurre con los centros de entrega en India y Europa del Este que operan herramientas de desarrollo para bancos y aseguradoras de otros países.

Para el CISO, el dato más útil es el intervalo: diez días separan el aviso del fabricante de la formalización por parte de la agencia estadounidense, y quienes esperaron el sello oficial para priorizar el parche quedaron expuestos durante todo ese período a un ataque con código ya público.