A Atlassian corrigiu uma vulnerabilidade crítica de acesso arbitrário a arquivos que afeta vários produtos Data Center. Identificada como CVE-2026-21589, a falha pode permitir que um atacante não autenticado leia arquivos específicos dentro do diretório raiz da aplicação. A Atlassian atribuiu CVSS 9,3 ao problema.
O alerta é relevante para organizações que mantêm Bitbucket, Confluence, Jira, Bamboo, Crowd, Crucible ou Fisheye em infraestrutura própria. Produtos Atlassian Cloud já foram corrigidos, segundo a empresa. Para instalações Data Center, a recomendação é atualizar imediatamente, começando pelas instâncias acessíveis pela internet.
Como funciona a vulnerabilidade
A CVE-2026-21589 é uma falha de acesso arbitrário a arquivos associada ao processamento de caminhos. Em determinadas requisições, um atacante pode tentar acessar um arquivo específico dentro da raiz web da aplicação sem autenticação.
A exploração exige que o invasor conheça antecipadamente o nome e o caminho exatos do arquivo. A vulnerabilidade não permite simplesmente listar diretórios ou enumerar todo o conteúdo do servidor. Mesmo assim, arquivos de configuração, credenciais, tokens, chaves ou informações de integração presentes em determinadas instalações podem aumentar o impacto.
A falha não deve ser confundida com uma confirmação de comprometimento de todos os ambientes Atlassian. A Atlassian informou que sua investigação não encontrou evidências de exploração em produtos Cloud. Em ambientes Data Center, entretanto, cada organização precisa avaliar sua própria exposição e revisar os logs.
Produtos afetados e versões corrigidas
A Atlassian informa que todas as versões dos produtos abaixo são afetadas antes das respectivas versões corrigidas:
| Produto | Versões corrigidas |
|---|---|
| Bitbucket Data Center | 9.4.26, 10.2.8 ou 10.5.1 |
| Confluence Data Center | 9.2.26 ou 10.2.19 |
| Jira Service Management Data Center | 5.12.40, 10.3.26 ou 11.3.12 |
| Jira Software Data Center | 9.12.40, 10.3.26 ou 11.3.12 |
| Bamboo Data Center | 10.2.24 ou 12.1.12 |
| Crowd Data Center | 6.3.7, 7.0.3, 7.1.7 ou 7.2.4 |
| Crucible | 4.9.15 |
| Fisheye | 4.9.15 |
Os números acima representam as versões corrigidas indicadas no aviso da Atlassian. Quando possível, o fabricante recomenda atualizar para a versão LTS corrigida ou para a versão mais recente suportada, respeitando as dependências e a topologia de cada ambiente.
Quem deve agir primeiro
A prioridade máxima é para instâncias Data Center expostas diretamente à internet, atrás de proxy reverso ou acessíveis por redes externas. Também devem ser priorizados ambientes com arquivos de configuração contendo segredos, integrações com diretórios, tokens de automação, chaves privadas ou credenciais de banco de dados.
Uma instalação que exige login ainda pode estar vulnerável, porque a Atlassian descreve o acesso como não autenticado. Colocar a aplicação atrás de autenticação adicional ou de uma VPN reduz a superfície, mas não substitui a atualização.
Recomendações práticas
1. Faça o inventário. Identifique cada produto Data Center, versão instalada, nós do cluster, mirrors, proxies, WAFs e endereços públicos. Inclua ambientes de teste, contingência e instalações administradas por terceiros.
2. Atualize para uma versão corrigida. Aplique o patch correspondente a todos os nós. Em clusters, não atualize apenas um servidor: a correção precisa ser consistente em todos os componentes que recebem requisições.
3. Retire temporariamente da internet se não puder corrigir. A orientação da Atlassian e do CERT-EU é restringir a exposição pública até que o patch ou uma mitigação adequada esteja aplicado. Isso vale inclusive para instâncias que já exigem autenticação.
4. Use uma regra de bloqueio no WAF ou proxy como contenção. A Atlassian fornece uma expressão regular para bloquear tentativas de path traversal, incluindo formas codificadas de .. adjacente a barras, contrabarras ou separadores equivalentes. Teste a regra antes de colocá-la em produção, pois uma regra excessivamente ampla pode interromper requisições legítimas.
5. Faça backup antes de alterações de configuração. Caso seja necessário configurar RewriteValve do Tomcat, editar arquivos de rewrite ou aplicar a regra específica do Bitbucket, preserve cópias dos arquivos e valide o comportamento em um nó de teste. O próprio aviso da Atlassian recomenda backup antes das mudanças.
Como investigar sinais de exploração
Revise os logs de acesso de todas as instâncias afetadas. A orientação da Atlassian é decodificar as linhas de requisição — até duas passagens, quando aplicável — e procurar .. imediatamente adjacente a /, \ ou ::. Também é possível pesquisar diretamente os logs brutos usando a expressão regular indicada no comunicado.
Correlacione os eventos com o proxy reverso, o WAF, o balanceador e o firewall. Procure requisições incomuns, respostas de sucesso para caminhos não esperados, acessos fora do horário, novas contas, mudanças de configuração e alterações em integrações.
Se houver evidência de acesso a arquivos sensíveis, trate os segredos como potencialmente expostos. Rotacione senhas, tokens, chaves e credenciais de serviços acessíveis pela aplicação. Também avalie se arquivos de configuração continham dados de outros sistemas e se esses sistemas precisam ser investigados.
Mitigações temporárias
Quando o patch não puder ser aplicado imediatamente, a primeira opção é remover a instância da internet. Como alternativa, a Atlassian descreve uma regra de WAF ou proxy para bloquear padrões de path traversal, além de configurações específicas para Tomcat em Confluence, Jira, Jira Service Management, Bamboo e Crowd.
Para Bitbucket Data Center, o fabricante fornece uma regra no arquivo urlrewrite.xml. Em todos os casos, as regras precisam ser testadas nos nós, mirrors e componentes correspondentes. Mitigações de camada de rede são medidas temporárias e não devem substituir a atualização para uma versão corrigida.
Conclusão
A CVE-2026-21589 é uma vulnerabilidade crítica porque combina acesso sem autenticação com a possibilidade de leitura de arquivos escolhidos pelo atacante. Embora seja necessário conhecer previamente o caminho do arquivo, instalações Data Center podem armazenar segredos e dados de integração em locais que tornam o risco significativo.
Administradores devem priorizar instâncias expostas, atualizar todos os nós para versões corrigidas, restringir a exposição até a manutenção e revisar os logs em busca de tentativas de traversal. Se houver indícios de acesso, a resposta deve incluir preservação de evidências, rotação de segredos e investigação dos sistemas relacionados.
Fontes primárias
Atlassian: CVE-2026-21589 — Arbitrary File Access Vulnerability impacts Multiple Products.
CERT-EU: Security Advisory 2026-015 — Critical Vulnerability in Multiple Atlassian Products.
CVE.org: CVE-2026-21589.