Exploit para falla crítica de Atlassian que permite acceso admin a Jira

Se ha pu­bli­ca­do un ex­ploit de prue­ba de con­cep­to para la vul­ne­ra­bi­li­dad CVE-2026-21589, un fallo crí­ti­co de lec­tu­ra ar­bi­tra­ria de ar­chi­vos que afec­ta a va­rios pro­duc­tos au­to­ges­tio­na­dos de Atlas­sian. Esta vul­ne­ra­bi­li­dad puede ex­po­ner ar­chi­vos sen­si­bles y, en en­tor­nos in­te­gra­dos con Atlas­sian Crowd, per­mi­tir que ata­can­tes ob­ten­gan ac­ce­so de ad­mi­nis­tra­dor de Jira. Atlas­sian emi­tió un aviso ur­gen­te el 5 de oc­tu­bre aler­tan­do que el pro­ble­ma afec­ta a nu­me­ro­sos pro­duc­tos de Data Cen­ter.

Atlas­sian emi­tió un aviso fuera de banda el 5 de oc­tu­bre. La vul­ne­ra­bi­li­dad afec­ta a nu­me­ro­sos pro­duc­tos de Data Cen­ter, in­clui­dos Jira Soft­wa­re, Jira Ser­vi­ce Ma­na­ge­ment, Con­fluen­ce, Bit­buc­ket, Bam­boo, Crowd, Cru­ci­ble y Fishe­ye. La de­bi­li­dad es par­ti­cu­lar­men­te grave por­que el es­ce­na­rio de ata­que re­por­ta­do mues­tra que puede ser ex­plo­ta­da re­mo­ta­men­te sin au­ten­ti­ca­ción.

Una bús­que­da rá­pi­da en In­ter­net re­ve­la la exis­ten­cia de algo menos de 700.000 ins­tan­cias tan solo de Con­fluen­ce. Por tanto, el al­can­ce de los afec­ta­dos es enor­me.

watch­Towr labs pu­bli­có de­ta­lles téc­ni­cos y una prue­ba de con­cep­to de de­tec­ción para Jira, Con­fluen­ce y Bit­buc­ket. La he­rra­mien­ta pu­bli­ca­da iden­ti­fi­ca ins­tan­cias vul­ne­ra­bles en­vian­do so­li­ci­tu­des de de­tec­ción se­gu­ras en lugar de crear usua­rios o mo­di­fi­car los sis­te­mas ob­je­ti­vo.

Al ver esta lista de pro­duc­tos afec­ta­dos, se puede con­si­de­rar miles de ins­tan­cias vul­ne­ra­bles ex­pues­tas a In­ter­net y rá­pi­da­men­te nos dimos cuen­ta de que la cifra se sitúa en el rango de las seis o siete ci­fras…