CISA confirma exploração ativa da CVE-2026-21589 no Atlassian Data Center
A CVE-2026-21589 permite que atacante sem autenticação leia arquivos do diretório raiz da aplicação em oito produtos Atlassian Data Center, entre eles Confluence, Jira e Bitbucket. A CISA incluiu a falha no catálogo KEV, o que indica exploração ativa, e a watchTowr publicou detalhes técnicos. A Atlassian lançou versões corrigidas em 05/10/2026 e pede aplicação imediata do patch ou restrição de acesso à internet.
O que aconteceu
Uma falha crítica em oito produtos Atlassian Data Center, como Confluence, Jira e Bitbucket, permite que invasores leiam arquivos do servidor sem senha nem login. A CISA, agência de cibersegurança dos EUA, incluiu a falha no catálogo de vulnerabilidades exploradas, o que confirma exploração ativa. A correção está disponível desde 05/10/2026.
Por que importa
Atacantes podem ler arquivos sensíveis presentes no diretório da aplicação, dependendo da configuração de cada instalação. Empresas com Confluence, Jira, Jira Service Management, Bitbucket, Bamboo, Crowd, Crucible ou Fisheye auto-hospedados e acessíveis pela internet estão expostas. A Atlassian classifica o risco como crítico, com nota 9,3.
O que fazer
Atualizar imediatamente cada instalação Data Center para as versões corrigidas listadas pela Atlassian. Enquanto isso, retirar a instância da internet ou aplicar a regra de firewall de aplicação divulgada pela Atlassian. Ambientes Atlassian Cloud já foram corrigidos e não exigem ação.
Para o time técnico
- CVE
- CVE-2026-21589
- Afetados
- Atlassian, múltiplos produtos · Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible e Fisheye. Todas as versões anteriores às corrigidas são afetadas. Produtos Atlassian Cloud já foram corrigidos e não requerem ação do cliente.
- Exploração
- A CISA incluiu a CVE-2026-21589 no catálogo KEV, o que indica exploração ativa em andamento. A watchTowr publicou detalhes técnicos caracterizando a falha como leitura arbitrária de arquivos pre-auth. A Atlassian afirma não ter encontrado evidência de exploração em produtos Cloud.
- Correção
- Correção por produto: Bitbucket 9.4.26, 10.2.8, 10.5.1; Confluence 9.2.26, 10.2.19; Jira Service Management 5.12.40, 10.3.26, 11.3.12; Jira Software 9.12.40, 10.3.26, 11.3.12; Bamboo 10.2.24, 12.1.12; Crowd 6.3.7, 7.0.3, 7.1.7, 7.2.4; Crucible 4.9.15; Fisheye 4.9.15 (todos Data Center). Mitigações temporárias: restringir acesso externo à instância, regra de WAF com regex bloqueando '..' adjacente a '/', '\' ou '::' (incluindo variantes codificadas em URL), ou RewriteValve do Tomcat para Confluence, JSM, Jira, Bamboo e Crowd.
- Vetor
- Leitura arbitrária de arquivos sem autenticação (pre-auth) em produtos Atlassian Data Center. O atacante acessa arquivos do diretório raiz da aplicação web e precisa conhecer previamente o nome e o caminho exato do alvo; a falha não permite enumerar ou listar conteúdo de diretórios. Vetor CVSS:4.0 da Atlassian: 9.3, rede, baixa complexidade, sem privilégios (AV:N/AC:L/PR:N). Instâncias acessíveis pela internet, inclusive com autenticação de usuário, devem ser tratadas como expostas.
- Mais detalhes
- Advisory da Atlassian publicado em 05/10/2026. NVD registra severidade de referência high e data de início 15/10/2026. Tickets internos da Atlassian: BSERV-20604, CONFSERVER-104488, JSDSERVER-16809, JRASERVER-79546, BAM-26567, CWD-6610, CRUC-8741, FE-7583. A Atlassian alerta que algumas configurações podem conter arquivos sensíveis no diretório raiz, elevando o risco.
Linha do tempo
Equipe watchTowr publica detalhes técnicos: a falha é uma leitura arbitrária de arquivos sem autenticação (pre-auth).
Entrada no KEV da CISA indica exploração ativa da falha.
Fontes 3 fontes
- NVD: CVE-2026-21589 NVD
- Atlassian Multiple Products: CVE-2026-21589 Atlassian
- @luckyhacker43 @luckyhacker43
