Atlassian corrige falha crítica explorada em 8 produtos Data Center

A Atlassian divulgou a vulnerabilidade CVE-2026-21589 em 5 de outubro, com pontuação 9.3, afetando oito produtos Data Center.

A falha crítica permite acesso não autenticado a arquivos específicos, mas só se o atacante souber o nome exato do arquivo.

A vulnerabilidade permite que um atacante não autenticado acesse arquivos específicos no diretório raiz da aplicação web, mas sem capacidade de listar o conteúdo do diretório.

A exploração é limitada a arquivos conhecidos, mas pode expor dados sensíveis se estiverem presentes no diretório.

Atléticos começaram a explorar a falha em até duas horas após a divulgação pública, com 15 tentativas detectadas de três endereços IP no Japão e nos EUA.

A rapidez da exploração mostra a importância de aplicar correções imediatamente.

A Atlassian forneceu versões corrigidas para todos os oito produtos afetados, incluindo Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible e Fisheye.

Os clientes devem atualizar para as versões corrigidas ou aplicar mitigação temporária, como remover o acesso externo.

A empresa recomendou que clientes que não possam atualizar imediatamente tomem a instância offline ou restrinjam o acesso externo até a correção.

A mitigação urgente é necessária para evitar exploração em instâncias expostas à internet.

A análise técnica do watchTowr Labs identificou um bug de path traversal usando sequências de dois pontos duplos (::) como separadores de caminho.

A técnica de exploração usa uma sintaxe incomum que permite ler arquivos fora do diretório pretendido.