Jira y Confluence en servidor propio: la falla CVE-2026-21589 ya se explota y basta con no haber parchado

Si tu empresa tiene Jira, Confluence, Bitbucket o Crowd instalados en un servidor propio y nadie los ha actualizado en los últimos días, hoy miércoles 14 de octubre es el día de hacerlo. La falla CVE-2026-21589, que Atlassian publicó el 5 de octubre (algunas fuentes fechan el aviso y los parches el 6), ya se está explotando: hay una prueba de concepto pública desde hace una semana (watchTowr la publicó el 6 o el 7 de octubre, según la fuente) y los primeros intentos de ataque aparecieron a las pocas horas.

Qué pasó

Atlassian publicó versiones corregidas para ocho productos que se instalan en servidor propio: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo y Crowd en su edición Data Center, además de Crucible y Fisheye. La calificación es 9.3 en CVSS v4, crítica.

La falla permite que alguien sin usuario ni contraseña lea archivos dentro de la carpeta web de la aplicación. Tiene un límite: el atacante necesita saber el nombre y la ruta exactos del archivo, porque no puede listar carpetas. El problema es que en un producto tan conocido como Jira, esas rutas están documentadas.

Lo que aceleró todo: la firma de investigación watchTowr publicó el análisis técnico completo junto con código de prueba. Según BleepingComputer, la red de señuelos de Previdian detectó intentos de explotación dentro de las dos horas siguientes, y casi al mismo tiempo apareció una plantilla para el escáner automático Nuclei. Help Net Security reportó también los intentos de explotación en señuelos. VulnCheck agregó la falla a su catálogo de vulnerabilidades explotadas el 7 de octubre, tras ver ataques contra Bamboo Data Center. El catálogo KEV de la CISA estadounidense todavía no la incluía al cierre del 13 de octubre, pero eso no cambia nada: la explotación ya está documentada.

A quién afecta

• Sí te afecta si tienes cualquiera de los ocho productos instalados en un servidor tuyo, en una máquina virtual en la nube que administras tú o tu proveedor, o en un equipo "olvidado" que montó un desarrollador hace años.
• No te afecta si usas Jira o Confluence Cloud: Atlassian ya había corregido su nube.
• Ojo con las versiones viejas: el aviso considera vulnerables todas las versiones anteriores a las corregidas, incluidas las que ya no tienen soporte. Un Jira Server de hace cinco años no recibe parche; la única salida es actualizar de rama o sacarlo de internet.

Versiones corregidas

Estas son las versiones mínimas por rama según el aviso de Atlassian:

Qué hacer hoy

1. Encuentra tus instalaciones. Pregunta a desarrollo, a soporte y a tu proveedor si hay Jira, Confluence, Bitbucket, Bamboo o Crowd corriendo en algún servidor. La mesa de ayuda en Jira Service Management y la wiki interna en Confluence suelen ser las que nadie recuerda.
2. Actualiza a la versión corregida de tu rama. Si estás en una versión sin soporte, no hay parche: planea el salto de rama y, mientras tanto, aplica el paso 3.
3. Sácalos de internet mientras actualizas. Si solo los usan empleados, déjalos accesibles únicamente por VPN o desde la red interna. Atlassian y BleepingComputer recogen medidas temporales (reglas en el firewall de aplicaciones web, reglas de reescritura en Tomcat o en urlrewrite.xml para Bitbucket), pero son un parche de emergencia, no una solución.
4. Si usas Crowd, cambia la contraseña de la aplicación en Crowd y en crowd.properties después de parchar, y limita por IP quién puede hablar con la API de Crowd. Si el servidor estuvo expuesto, asume que ese archivo pudo haberse leído.
5. Revisa usuarios administradores y bitácoras. Busca cuentas de administrador que nadie reconozca y peticiones extrañas en los registros de acceso desde el 5 de octubre. watchTowr publicó una herramienta gratuita para comprobar si una instancia es vulnerable.
6. Rota otras contraseñas que vivan en esos servidores, como las de bases de datos o integraciones. Si no sabes cuáles son, esta guía sobre contraseñas filtradas te ayuda a ordenar el proceso.

Si ayer martes aplicaste las actualizaciones mensuales de Microsoft, aprovecha esa misma ventana de mantenimiento: es otro servidor, pero es el mismo trabajo.

Contexto: el patrón de octubre

No es un caso aislado. En las últimas semanas los atacantes han explotado fallas en equipos y aplicaciones que dan la cara a internet a una velocidad que no deja margen: Citrix NetScaler tuvo un nuevo día cero en SAML días después de otro parche, y FortiMail se atacó antes de que hubiera corrección. La regla es la misma: cuando aparece una prueba de concepto pública, la ventana para parchar se mide en horas.

Y hay un ángulo de fondo para quien todavía tiene Atlassian en casa. Como contamos ayer, Atlassian ya no vende Data Center a clientes nuevos y le puso fecha de fin a esa línea. Cada aviso como este es un recordatorio de que mantener un servidor propio exige alguien que lo parche a tiempo. Si ese alguien no existe en tu empresa, vale la pena poner en la balanza la migración a la nube o un contrato de soporte que lo cubra, y aplicar a esos servidores lo básico de endurecimiento de servidores Linux.