Vence hoy el plazo de CISA para corregir la falla CVE-2026-21589

Este domingo vence el plazo de CISA, la agencia de ciberseguridad de Estados Unidos, para que las dependencias civiles federales corrijan la vulnerabilidad CVE-2026-21589. CISA la añadió el 15 de octubre a su catálogo de vulnerabilidades explotadas (KEV), con evidencia de ataques en curso. El hecho no es nuevo desde esa fecha; lo de hoy es el vencimiento.

Atlassian publicó su aviso el 5 de octubre. Describe una falla crítica de acceso arbitrario a archivos, con 9.3 en la escala CVSS, en las ediciones Data Center de Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible y Fisheye. Las ediciones Data Center son las que cada organización aloja en sus propios servidores. Los productos en la nube ya fueron corregidos y, según la empresa, no hay evidencia de explotación ahí.

Las versiones coinciden en Help Net Security e Infosecurity Magazine, y con la tabla del boletín de seguridad de Atlassian que cotejó nuestra nota del 7 de octubre. Esta redacción no pudo abrir el boletín hoy.

Qué se sabe de la explotación

Según Infosecurity Magazine, VulnCheck, una firma de inteligencia de amenazas, la incluyó en su catálogo el 7 de octubre porque vio ataques contra instancias de Bamboo Data Center. Atlassian, según el mismo medio, no puede confirmar cuántos clientes fueron comprometidos. Para quien no pueda actualizar de inmediato, la empresa sugiere, según ese medio, filtrar el tráfico con un cortafuegos de aplicaciones web o con reglas de reescritura del servidor, y pide revisar las instancias en busca de indicios de intrusión además de actualizar.

CISA calificó este tipo de falla como "un vector de ataque frecuente" para actores maliciosos. Su directiva BOD 26-04 obliga solo a las dependencias federales civiles de Estados Unidos, aunque la agencia anima a todas las organizaciones a priorizar el catálogo. La fecha límite del 18 de octubre sale de la entrada del catálogo KEV y no del texto de la alerta que se pudo leer.

Quien la aproveche puede leer archivos del servidor sin credenciales, y los ataques ya ocurren. Una organización en México con estas ediciones corre el mismo riesgo que describen Atlassian y CISA. Sigue sin respuesta oficial si afecta también a productos Server sin soporte, y no hay una cifra confiable de instancias expuestas en internet.