Si tu empresa tiene Jira, Confluence, Bitbucket u otra herramienta de Atlassian instalada en sus propios servidores, hay una actualización urgente. El 6 de octubre, Atlassian publicó un aviso sobre la vulnerabilidad CVE-2026-21589, calificada como crítica, que afecta a casi toda su línea de productos Data Center.
Actualización 07/10/2026: ya hay ataques. Según BleepingComputer, la firma Previdian vio intentos de explotación en sus equipos trampa menos de dos horas después de que watchTowr publicó su análisis. Si tienes estos productos en servidor propio, actualiza ya o desconéctalos de internet.
¿Qué permite la falla?
Según BleepingComputer, un atacante sin usuario ni contraseña puede leer archivos dentro de la carpeta de la aplicación web, siempre que conozca el nombre y la ruta exactos del archivo. No puede listar carpetas, pero eso no es mucho consuelo: los archivos de configuración de estos productos tienen nombres conocidos.
Los investigadores de watchTowr, que analizaron la falla, explican que entre esos archivos puede estar la configuración de conexión con Crowd, el sistema de usuarios de Atlassian, con contraseñas en texto plano. Con ellas, un atacante podría llegar a crear usuarios y convertirse en administrador. watchTowr ya publicó en GitHub un código de prueba y herramientas para detectar equipos vulnerables, lo que suele acelerar los ataques.
Al publicar el aviso, Atlassian dijo que no tenía evidencia de ataques (ver la actualización arriba), y que las versiones en la nube (Cloud) ya fueron corregidas automáticamente.
Versiones que corrigen la falla
| Producto (Data Center) | Actualiza a |
|---|---|
| Jira Software | 9.12.40, 10.3.26 u 11.3.12 |
| Jira Service Management | 5.12.40, 10.3.26 u 11.3.12 |
| Confluence | 9.2.26 o 10.2.19 |
| Bitbucket | 9.4.26, 10.2.8 o 10.5.1 |
| Bamboo | 10.2.24 o 12.1.12 |
| Crowd | 6.3.7, 7.0.3, 7.1.7 o 7.2.4 |
| Crucible y Fisheye | 4.9.15 |
Si no puedes actualizar de inmediato, Atlassian recomienda quitar el acceso desde internet a estos servidores y usar reglas de firewall de aplicaciones web (WAF) para bloquear el ataque, aunque aclara que estas medidas no sustituyen al parche.
¿Qué significa para México?
Jira y Confluence son muy usados en México por áreas de desarrollo, agencias, despachos y equipos de soporte. La mayoría de las PyMEs los usan en la nube, y en ese caso no tienen que hacer nada. Pero si tu proveedor o tu equipo de TI los instaló en un servidor propio, pregunta hoy:
- ¿Qué versión tenemos?
- ¿Está expuesto a internet?
- ¿Cuándo se aplica la actualización?
Y si actualizas, cambia también las contraseñas de las integraciones guardadas en el servidor, por si alguien ya las leyó.
¿Necesitas ayuda para revisar o actualizar los equipos de tu negocio? En IOSoluciones te apoyamos con Soporte Técnico y Mantenimiento. Contáctanos.
Fuentes: BleepingComputer (06/10/2026), GBHackers y el análisis técnico de watchTowr Labs, consultadas el 06/10/2026. Actualización con BleepingComputer del 07/10/2026.