[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/atlassian-data-center-cve-2026-21589-explotada":3,"prev-/blog/noticias/atlassian-data-center-cve-2026-21589-explotada":403,"next-/blog/noticias/atlassian-data-center-cve-2026-21589-explotada":380,"related-/blog/noticias/atlassian-data-center-cve-2026-21589-explotada":406,"author-Diego Herrera":425},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":356,"cta":357,"date":363,"dateModified":363,"description":364,"draft":365,"extension":366,"faq":367,"featured":365,"howto":380,"image":381,"imageAlt":382,"intent":383,"keywords":384,"meta":389,"navigation":390,"path":391,"publishedTime":392,"readingTime":393,"seo":394,"seoTitle":395,"stem":396,"tags":397,"__hash__":402},"blog/blog/noticias/atlassian-data-center-cve-2026-21589-explotada.md","Jira y Confluence en servidor propio: la falla CVE-2026-21589 ya se explota y basta con no haber parchado","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":346},"minimark",[11,32,37,56,67,102,126,130,160,164,167,240,243,247,300,303,307,320,337],[12,13,14,15,19,20,23,24,27,28,31],"p",{},"Si tu empresa tiene ",[16,17,18],"strong",{},"Jira, Confluence, Bitbucket o Crowd instalados en un servidor propio"," y nadie los ha actualizado en los últimos días, hoy miércoles 14 de octubre es el día de hacerlo. La falla ",[16,21,22],{},"CVE-2026-21589",", que Atlassian publicó el ",[16,25,26],{},"5 de octubre"," (algunas fuentes fechan el aviso y los parches el 6), ",[16,29,30],{},"ya se está explotando",": hay una prueba de concepto pública desde hace una semana (watchTowr la publicó el 6 o el 7 de octubre, según la fuente) y los primeros intentos de ataque aparecieron a las pocas horas.",[33,34,36],"h2",{"id":35},"qué-pasó","Qué pasó",[12,38,39,40,43,44,47,48,51,52,55],{},"Atlassian publicó versiones corregidas para ",[16,41,42],{},"ocho productos que se instalan en servidor propio",": Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo y Crowd en su edición ",[16,45,46],{},"Data Center",", además de ",[16,49,50],{},"Crucible y Fisheye",". La calificación es ",[16,53,54],{},"9.3 en CVSS v4",", crítica.",[12,57,58,59,62,63,66],{},"La falla permite que alguien ",[16,60,61],{},"sin usuario ni contraseña"," lea archivos dentro de la carpeta web de la aplicación. Tiene un límite: el atacante necesita saber ",[16,64,65],{},"el nombre y la ruta exactos"," del archivo, porque no puede listar carpetas. El problema es que en un producto tan conocido como Jira, esas rutas están documentadas.",[12,68,69,70,73,74,77,78,81,82,85,86,89,90,93,94,97,98,101],{},"Lo que aceleró todo: la firma de investigación ",[16,71,72],{},"watchTowr"," publicó el análisis técnico completo junto con código de prueba. Según ",[16,75,76],{},"BleepingComputer",", la red de señuelos de ",[16,79,80],{},"Previdian"," detectó intentos de explotación ",[16,83,84],{},"dentro de las dos horas"," siguientes, y casi al mismo tiempo apareció una plantilla para el escáner automático Nuclei. ",[16,87,88],{},"Help Net Security"," reportó también los intentos de explotación en señuelos. ",[16,91,92],{},"VulnCheck"," agregó la falla a su catálogo de vulnerabilidades explotadas el ",[16,95,96],{},"7 de octubre",", tras ver ataques contra ",[16,99,100],{},"Bamboo Data Center",". El catálogo KEV de la CISA estadounidense todavía no la incluía al cierre del 13 de octubre, pero eso no cambia nada: la explotación ya está documentada.",[103,104,107],"callout",{"icon":105,"title":106},"i-lucide-key-round","De leer un archivo a ser administrador",[12,108,109,110,113,114,117,118,121,122,125],{},"En instalaciones donde ",[16,111,112],{},"Jira se conecta a Atlassian Crowd"," (el directorio de usuarios de Atlassian), el archivo ",[16,115,116],{},"crowd.properties"," guarda el nombre de la aplicación y ",[16,119,120],{},"su contraseña en texto plano",". Con esos datos, un atacante puede usar la API de Crowd para ",[16,123,124],{},"crearse una cuenta de administrador",". Por eso una falla \"de solo lectura\" se califica como crítica.",[33,127,129],{"id":128},"a-quién-afecta","A quién afecta",[131,132,133,140,150],"ul",{},[134,135,136,139],"li",{},[16,137,138],{},"Sí te afecta"," si tienes cualquiera de los ocho productos instalados en un servidor tuyo, en una máquina virtual en la nube que administras tú o tu proveedor, o en un equipo \"olvidado\" que montó un desarrollador hace años.",[134,141,142,145,146,149],{},[16,143,144],{},"No te afecta"," si usas ",[16,147,148],{},"Jira o Confluence Cloud",": Atlassian ya había corregido su nube.",[134,151,152,155,156,159],{},[16,153,154],{},"Ojo con las versiones viejas:"," el aviso considera vulnerables ",[16,157,158],{},"todas las versiones anteriores a las corregidas, incluidas las que ya no tienen soporte",". Un Jira Server de hace cinco años no recibe parche; la única salida es actualizar de rama o sacarlo de internet.",[33,161,163],{"id":162},"versiones-corregidas","Versiones corregidas",[12,165,166],{},"Estas son las versiones mínimas por rama según el aviso de Atlassian:",[168,169,170,182],"table",{},[171,172,173],"thead",{},[174,175,176,180],"tr",{},[177,178,179],"th",{},"Producto",[177,181,163],{},[183,184,185,194,202,210,218,225,233],"tbody",{},[174,186,187,191],{},[188,189,190],"td",{},"Jira Software Data Center",[188,192,193],{},"9.12.40, 10.3.26, 11.3.12",[174,195,196,199],{},[188,197,198],{},"Jira Service Management Data Center",[188,200,201],{},"5.12.40, 10.3.26, 11.3.12",[174,203,204,207],{},[188,205,206],{},"Confluence Data Center",[188,208,209],{},"9.2.26, 10.2.19",[174,211,212,215],{},[188,213,214],{},"Bitbucket Data Center",[188,216,217],{},"9.4.26, 10.2.8, 10.5.1",[174,219,220,222],{},[188,221,100],{},[188,223,224],{},"10.2.24, 12.1.12",[174,226,227,230],{},[188,228,229],{},"Crowd Data Center",[188,231,232],{},"6.3.7, 7.0.3, 7.1.7, 7.2.4",[174,234,235,237],{},[188,236,50],{},[188,238,239],{},"4.9.15",[241,242],"ad-banner",{},[33,244,246],{"id":245},"qué-hacer-hoy","Qué hacer hoy",[248,249,250,256,262,273,282,288],"ol",{},[134,251,252,255],{},[16,253,254],{},"Encuentra tus instalaciones."," Pregunta a desarrollo, a soporte y a tu proveedor si hay Jira, Confluence, Bitbucket, Bamboo o Crowd corriendo en algún servidor. La mesa de ayuda en Jira Service Management y la wiki interna en Confluence suelen ser las que nadie recuerda.",[134,257,258,261],{},[16,259,260],{},"Actualiza a la versión corregida de tu rama."," Si estás en una versión sin soporte, no hay parche: planea el salto de rama y, mientras tanto, aplica el paso 3.",[134,263,264,267,268,272],{},[16,265,266],{},"Sácalos de internet mientras actualizas."," Si solo los usan empleados, déjalos accesibles únicamente por VPN o desde la red interna. Atlassian y BleepingComputer recogen medidas temporales (reglas en el firewall de aplicaciones web, reglas de reescritura en Tomcat o en ",[269,270,271],"code",{},"urlrewrite.xml"," para Bitbucket), pero son un parche de emergencia, no una solución.",[134,274,275,278,279,281],{},[16,276,277],{},"Si usas Crowd, cambia la contraseña de la aplicación"," en Crowd y en ",[269,280,116],{}," después de parchar, y limita por IP quién puede hablar con la API de Crowd. Si el servidor estuvo expuesto, asume que ese archivo pudo haberse leído.",[134,283,284,287],{},[16,285,286],{},"Revisa usuarios administradores y bitácoras."," Busca cuentas de administrador que nadie reconozca y peticiones extrañas en los registros de acceso desde el 5 de octubre. watchTowr publicó una herramienta gratuita para comprobar si una instancia es vulnerable.",[134,289,290,293,294,299],{},[16,291,292],{},"Rota otras contraseñas que vivan en esos servidores",", como las de bases de datos o integraciones. Si no sabes cuáles son, ",[295,296,298],"a",{"href":297},"/blog/tutorial/contrasenas-filtradas-empresa","esta guía sobre contraseñas filtradas"," te ayuda a ordenar el proceso.",[12,301,302],{},"Si ayer martes aplicaste las actualizaciones mensuales de Microsoft, aprovecha esa misma ventana de mantenimiento: es otro servidor, pero es el mismo trabajo.",[33,304,306],{"id":305},"contexto-el-patrón-de-octubre","Contexto: el patrón de octubre",[12,308,309,310,314,315,319],{},"No es un caso aislado. En las últimas semanas los atacantes han explotado fallas en equipos y aplicaciones que dan la cara a internet a una velocidad que no deja margen: ",[295,311,313],{"href":312},"/blog/noticias/netscaler-cve-2026-88779-saml-dia-cero","Citrix NetScaler tuvo un nuevo día cero en SAML"," días después de otro parche, y ",[295,316,318],{"href":317},"/blog/noticias/fortimail-cve-2026-104286-dia-cero","FortiMail se atacó antes de que hubiera corrección",". La regla es la misma: cuando aparece una prueba de concepto pública, la ventana para parchar se mide en horas.",[12,321,322,323,327,328,331,332,336],{},"Y hay un ángulo de fondo para quien todavía tiene Atlassian en casa. Como contamos ayer, ",[295,324,326],{"href":325},"/blog/noticias/atlassian-jira-confluence-suben-precios-13-octubre","Atlassian ya no vende Data Center a clientes nuevos y le puso fecha de fin a esa línea",". Cada aviso como este es un recordatorio de que ",[16,329,330],{},"mantener un servidor propio exige alguien que lo parche a tiempo",". Si ese alguien no existe en tu empresa, vale la pena poner en la balanza la migración a la nube o un contrato de soporte que lo cubra, y aplicar a esos servidores lo básico de ",[295,333,335],{"href":334},"/blog/tutorial/hardening-servidores-linux","endurecimiento de servidores Linux",".",[338,339],"call-to-action",{"description":340,"eyebrow":341,"icon":342,"label":343,"title":344,"to":345},"Hacemos el inventario de lo que publicas a internet, actualizamos o aislamos lo vulnerable y revisamos si alguien entró antes.","Servidores expuestos","i-lucide-server-cog","Pedir revisión","¿Jira, Confluence o algo más en tu servidor y nadie lo parcha?","/contacto",{"title":347,"searchDepth":348,"depth":349,"links":350},"",2,3,[351,352,353,354,355],{"id":35,"depth":348,"text":36},{"id":128,"depth":348,"text":129},{"id":162,"depth":348,"text":163},{"id":245,"depth":348,"text":246},{"id":305,"depth":348,"text":306},"noticias",{"title":358,"description":359,"label":360,"to":361,"icon":362},"¿Tienes sistemas instalados en casa que dan la cara a internet?","Revisamos qué servidores y aplicaciones tuyas son visibles desde fuera, qué versión corren y si hay rastros de accesos raros. Te dejamos la lista de lo que hay que parchar primero.","Ver servicio de ciberseguridad","/servicios/ciberseguridad","i-lucide-shield-alert","2026-10-14","La falla CVE-2026-21589 (CVSS 9.3) deja leer sin contraseña archivos de Jira, Confluence, Bitbucket y Crowd en servidor propio. Ya hay ataques y código público.",false,"md",[368,371,374,377],{"question":369,"answer":370},"¿Qué es CVE-2026-21589?","Una falla de acceso arbitrario a archivos en ocho productos de Atlassian instalados en servidor propio: Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo y Crowd en su edición Data Center, además de Crucible y Fisheye. Un atacante sin usuario ni contraseña puede leer archivos dentro de la carpeta web de la aplicación si conoce su nombre y ruta exactos. Tiene calificación 9.3 en CVSS v4, crítica.",{"question":372,"answer":373},"Uso Jira o Confluence en la nube, ¿tengo que hacer algo?","No por esta falla. Según Atlassian, las versiones en la nube ya estaban corregidas y no requieren acción del cliente. El riesgo es para quien tiene los productos instalados en sus propios servidores o en una máquina virtual que administra su proveedor.",{"question":375,"answer":376},"Si solo deja leer archivos, ¿por qué es tan grave?","Porque algunos de esos archivos guardan contraseñas. En instalaciones donde Jira se conecta a Atlassian Crowd, el archivo crowd.properties contiene el nombre de la aplicación y su contraseña en texto plano. Con eso, un atacante puede usar la API de Crowd para crearse una cuenta de administrador. De leer un archivo a ser dueño del sistema hay un paso.",{"question":378,"answer":379},"¿Qué versión tengo que instalar?","Depende del producto y la rama. Por ejemplo, Jira Software Data Center 9.12.40, 10.3.26 u 11.3.12; Confluence Data Center 9.2.26 o 10.2.19; Bitbucket Data Center 9.4.26, 10.2.8 o 10.5.1; Crowd Data Center 6.3.7, 7.0.3, 7.1.7 o 7.2.4. La tabla completa está en el aviso de Atlassian. Las versiones sin soporte también son vulnerables y no reciben corrección.",null,"/images/blog/noticias/atlassian-data-center-cve-2026-21589-explotada.jpg","Servidor en un rack con una pantalla que muestra un tablero de tareas y una alerta de seguridad","informational",[385,386,387,388],"cve-2026-21589","vulnerabilidad atlassian jira confluence data center","atlassian crowd crowd.properties","actualizar jira data center",{},true,"/blog/noticias/atlassian-data-center-cve-2026-21589-explotada","2026-10-14T08:15:00-06:00",5,{"title":5,"description":364},"Atlassian CVE-2026-21589: Jira y Confluence explotados","blog/noticias/atlassian-data-center-cve-2026-21589-explotada",[398,399,400,401],"ciberseguridad","vulnerabilidades","atlassian","servidores","JQPnDRGDxpkRTWUA-ixPbVTG9RPcYdzy5OM4cEXWvA4",{"path":404,"title":405},"/blog/noticias/patch-tuesday-octubre-2026-1400-fallas","Patch Tuesday de octubre: más de 1,400 fallas y un día cero que salta el aviso de archivos descargados",[407,413,419],{"path":408,"title":409,"description":410,"date":363,"category":356,"image":411,"imageAlt":412,"readingTime":393},"/blog/noticias/sophos-firewall-email-suben-precio-1-noviembre","Sophos sube otra vez sus precios el 1 de noviembre: firewalls XGS 10% más caros por segunda vez en cuatro meses","Desde el 1 de noviembre, Sophos sube 10% sus firewalls XGS, sus suscripciones y los AP6. Es el segundo aumento desde julio. Qué revisar antes de renovar.","/images/blog/noticias/sophos-firewall-email-suben-precio-1-noviembre.jpg","Firewall en un rack de comunicaciones junto a una cotización impresa y una calculadora",{"path":414,"title":415,"description":416,"date":363,"category":356,"image":417,"imageAlt":418,"readingTime":393},"/blog/noticias/gemini-gems-se-convierten-skills-17-noviembre","Los Gems de Gemini se convierten en skills el 17 de noviembre, y para usarlos tendrás que dejar que Google guarde tus chats","Desde el 17 de noviembre, los Gems de Gemini pasan a ser skills en cuentas personales. Para usarlas hay que activar el historial. Qué implica para tu empresa.","/images/blog/noticias/gemini-gems-se-convierten-skills-17-noviembre.jpg","Persona en una laptop configurando un asistente de inteligencia artificial con un aviso de privacidad en pantalla",{"path":404,"title":405,"description":420,"date":421,"category":356,"image":422,"imageAlt":423,"readingTime":424},"Microsoft corrigió más de 1,400 vulnerabilidades el 13 de octubre de 2026, un récord, con un día cero explotado en Windows Shell. Qué parchar primero.","2026-10-13","/images/blog/noticias/patch-tuesday-octubre-2026-1400-fallas.jpg","Consola de administración de actualizaciones de Windows con una lista larga de parches de seguridad pendientes",6,{"id":426,"avatar":380,"bio":427,"entityType":428,"expertise":429,"extension":430,"meta":431,"name":6,"role":432,"slug":433,"social":380,"stem":434,"url":7,"__hash__":435},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]