CISA confirma exploração ativa de falha no Jira e Confluence

A CISA, agência de cibersegurança do governo americano, incluiu na quinta-feira, 15 de outubro, a falha CVE-2026-21589 em seu catálogo de vulnerabilidades exploradas ativamente. O defeito atinge as versões Data Center dos produtos da Atlassian, entre eles Jira, Confluence e Bitbucket, e permite que um atacante sem login leia arquivos do servidor. Segundo o aviso da agência, a inclusão se baseou em evidência de exploração ativa.

A Atlassian divulgou a vulnerabilidade em 5 de outubro com nota 9,3 na escala CVSS 4.0. A falha afeta oito produtos autogerenciados: Jira, Jira Service Management, Confluence, Bitbucket, Bamboo, Crowd, Crucible e Fisheye. O Atlassian Cloud não é afetado.

De leitura de arquivo a administrador

Ler arquivos parece menos grave que executar código, e é por isso que o caso merece atenção. A watchTowr, empresa de pesquisa ofensiva que publicou uma prova de conceito funcional, mostrou o caminho. Instalações do Jira integradas ao Crowd, o diretório de identidades da Atlassian, guardam no arquivo crowd.properties o nome da aplicação, a senha em texto puro e o endereço do servidor Crowd. Com esses dados, os pesquisadores criaram um usuário novo no Crowd, o colocaram no grupo de administradores do Jira e obtiveram controle administrativo da instância.

A Previdian, que opera sensores do tipo honeypot, disse ter registrado tentativas de exploração já em 6 de outubro, um dia depois do aviso da Atlassian. A partir daí, a sequência foi a habitual: código público, modelos de varredura automatizada e tráfego hostil em escala. A entrada no catálogo da CISA formaliza o que esses sensores já mostravam e obriga as agências civis federais americanas a corrigir os sistemas dentro do prazo fixado pela agência.

As versões corrigidas

As tabelas publicadas a partir do aviso da Atlassian indicam como versões seguras, entre outras: Jira Software 9.12.40, 10.3.26 e 11.3.12; Jira Service Management 5.12.40, 10.3.26 e 11.3.12; Confluence 9.2.26 e 10.2.19; Bitbucket 9.4.26, 10.2.8 e 10.5.1; Crowd 6.3.7, 7.0.3, 7.1.7 e 7.2.4. Para Bamboo, Crucible e Fisheye, a referência é o próprio boletim do fabricante.

A exposição real depende da arquitetura. Segundo a watchTowr, se o Crowd aceita conexões apenas de uma lista de IPs autorizados, o cenário de escalada fica bem mais difícil, mesmo com o arquivo lido. Instâncias que expõem o Jira à internet sem nenhum filtro na frente são o alvo óbvio das varreduras.

A Atlassian oferece mitigações temporárias, mas descreve essas medidas como limitadas e não substitutas da atualização. Para quem usa Crowd, a recomendação dos pesquisadores é dupla: trocar as senhas de aplicação guardadas no crowd.properties e restringir o acesso ao Crowd a uma lista de endereços IP autorizados. Corrigir sem trocar a senha deixa aberta a porta para quem já leu o arquivo antes do patch.

Onde o risco se concentra

O público exposto é justamente o que escolheu não ir para a nuvem. Empresas e governos que mantêm Jira e Confluence em servidores próprios o fazem, em geral, por exigência de soberania de dados ou de regulação setorial, e são esses ambientes que carregam o histórico de projetos, credenciais de integração e documentação técnica interna.

Nos Estados Unidos, a pressão vem do prazo federal e dos contratados do governo, que costumam herdar as exigências da CISA em contrato. Na Austrália, sede da Atlassian, órgãos públicos e operadores de infraestrutura crítica respondem ao Australian Cyber Security Centre, e a proximidade com o fabricante não reduz a exposição: as versões Data Center são as mesmas em Sydney e em Washington. Na Alemanha e no restante da União Europeia, a diretiva NIS2 obriga operadores essenciais a gerir vulnerabilidades conhecidas, e uma falha listada como explorada pela CISA serve como prova de que o risco era conhecido.

No Brasil, o canal mais direto são as consultorias e fábricas de software que mantêm instâncias Data Center para hospedar projetos de clientes. Nesses ambientes, um único Jira concentra repositórios e credenciais de vários contratantes, e uma intrusão bem-sucedida atravessa a fronteira entre fornecedor e cliente. O mesmo vale para centros de entrega na Índia e no Leste Europeu que operam ferramentas de desenvolvimento para bancos e seguradoras de outros países.

Para o CISO, o dado mais útil é o intervalo: dez dias separam o aviso do fabricante da formalização pela agência americana, e quem esperou o carimbo oficial para priorizar o patch ficou exposto durante todo esse período a um ataque com código já público.