Por qué esta vulnerabilidad es grave
CVE-2026-21589 es un path traversal activado por una secuencia de doble dos puntos (::) en las rutas de solicitudes HTTP. Un atacante que pueda alcanzar tu instancia por la red — sin ninguna credencial — puede leer archivos arbitrarios desde la raíz web de la aplicación. Dependiendo de la disposición de tu despliegue, esto puede incluir archivos de configuración, tokens internos o datos en caché que nunca debieron ser accesibles públicamente.
La puntuación CVSS v4.0 de 9.3 refleja tres factores acumulativos: no se requiere autenticación, no se necesita interacción del usuario, y el impacto es amplio en toda la familia de productos. Atlassian confirmó el parche el 5 de octubre de 2026. Las cuentas en la nube de Atlassian no están afectadas — el parche fue aplicado automáticamente. Este aviso concierne únicamente a los despliegues Data Center auto-alojados.
Productos y versiones afectados
- Confluence Data Center — todas las versiones anteriores a 9.2.26 (línea LTS) y 10.2.19 (línea actual)
- Jira Software Data Center — todas las versiones anteriores a 9.12.40 (LTS), 10.3.26 o 11.3.12
- Jira Service Management Data Center — todas las versiones anteriores a 5.12.40 (LTS), 10.3.26 o 11.3.12
- Bitbucket Data Center — consultar el aviso oficial en advisories.atlassian.com para la versión corregida específica
- Bamboo Data Center — consultar el aviso oficial
- Crowd — consultar el aviso oficial
- Crucible / Fisheye — consultar el aviso oficial
- Atlassian Cloud — no afectado
Requisitos previos antes de actualizar
Antes de aplicar cualquier parche, realice una copia de seguridad completa de su base de datos y del directorio home. Para Confluence, esto incluye la base de datos y el directorio confluence.home (archivos adjuntos, plugins, configuración). Para Jira, haga una copia de seguridad de la base de datos y de jira.home. Verifique que la copia de seguridad sea legible antes de continuar.
Compruebe que se encuentra en una ruta de actualización compatible. Atlassian publica matrices de actualización; pasar de una versión muy antigua a una versión corregida reciente en un solo paso a veces no está soportado y requiere una parada intermedia. Utilice la herramienta Atlassian Upgrade Path Checker en my.atlassian.com antes de comenzar.
Confirme que dispone de suficiente espacio en disco: el instalador descomprime una distribución completa junto a la instancia en ejecución. Para despliegues grandes de Confluence, prevea al menos 10 GB de espacio libre en el volumen de instalación.
Verificar tu versión y aplicar el parche
Identificar tu versión actual
En Confluence, navega a Administración → Configuración general → Acerca de Confluence o lee la clave
atlassian.versionenconfluence.home/confluence.cfg.xml. En Jira, ve a Administración → Sistema → Información del sistema y busca el campo Build, o ejecutagrep -m1 'version' /opt/atlassian/jira/atlassian-jira/META-INF/MANIFEST.MFen el host.Descargar el instalador corregido
Obtén el instalador parcheado desde el centro de descargas oficial de Atlassian en
www.atlassian.com/software/confluence/download-archives(Confluence) o la página equivalente para tu producto. Verifica el checksum SHA-256 contra el valor publicado en la página de descarga antes de ejecutar nada. No uses mirrors de terceros.Activar el modo mantenimiento
En Confluence DC: ve a Administración → Mantenimiento y activa el modo mantenimiento. Para Jira DC, la opción equivalente está en Administración → Sistema → Mantenimiento. Espera a que las sesiones activas terminen o acepta una breve ventana de interrupción.
Detener el servicio de la aplicación
Ejecuta
sudo systemctl stop confluence(ojira). Confirma que el proceso ya no escucha:ss -tlnp | grep 8090no debería devolver nada para el puerto por defecto de Confluence.Ejecutar el instalador o descomprimir el archivo
Si usas el instalador
.bin, hazlo ejecutable conchmod +x atlassian-confluence-9.2.26-x64.biny ejecútalo como root. Elige Upgrade cuando se te solicite, apuntando el instalador a tu directorio de instalación existente.Reiniciar y verificar que el servicio funciona
Inicia el servicio con
sudo systemctl start confluencey sigue los logs:tail -f /opt/atlassian/confluence/logs/atlassian-confluence.log. Espera la líneaServer startup in. Luego abre la interfaz de administración y confirma que el número de versión mostrado coincide con la versión parcheada.Para clústeres Data Center: actualizar nodo a nodo
En un clúster, retira un nodo del balanceador de carga, parchearlo, arráncalo, espera a que rejoining el clúster (comprueba en Administración → Clustering), y repite para el siguiente nodo. Nunca pongas todos los nodos fuera de línea simultáneamente.
Probar las funcionalidades básicas y verificar los logs
Tras la actualización, ejecuta un test de humo: crea una página en Confluence o una incidencia en Jira. Revisa los logs de aplicación (
tail -f /opt/atlassian/confluence/logs/atlassian-confluence.log) y verifica que no aparezcan erroresClassNotFoundExceptionniPathTraversalDetected. El parche cierra la vulnerabilidad CVE-2026-21589; un error durante el inicio indica una instalación incompleta. Comprueba también la versión desde la interfaz de administración para confirmar que se muestra el número de versión corregido.
Mitigación temporal si no es posible parchear ahora
Si no puedes aplicar el parche ahora, bloquea el acceso externo a la instancia por completo detrás de un reverse proxy y restringe el acceso a rangos de IP conocidos. A nivel nginx, puedes agregar un bloque location que rechace solicitudes que contengan la secuencia de doble dos puntos: if ($request_uri ~* '::') { return 403; }. Este es un filtro heurístico, no una solución real — puede ser eludido por variantes de codificación. No lo utilices como solución permanente. El aviso de Atlassian indica explícitamente que el filtrado a nivel de red no es un sustituto suficiente del parche.
Verificar que tu instancia ya no es vulnerable
Tras el parche, confirma que la versión en la interfaz de administración coincide con la versión corregida. Puedes hacer una comprobación básica enviando una solicitud artesanal y verificando que devuelve un 400 o 403 en lugar del contenido de un archivo. Una ruta de prueba segura es solicitar http://votre-domaine.com/confluence/setup/::WEB-INF/web.xml — una instancia parcheada devuelve un error; una vulnerable devuelve el archivo.
Revisa también tus logs de aplicación en busca de patrones de acceso históricos que coincidan con el traversal ::: grep '::' /opt/atlassian/confluence/logs/access.log. Cualquier resultado anterior a la fecha del parche justifica una revisión de incidente más profunda.
Medidas preventivas a largo plazo
Parchear CVE-2026-21589 aborda el riesgo inmediato, pero la lección más amplia es sobre la superficie de exposición. Restringir los puertos externos con reglas ufw estrictas, ejecutar la aplicación detrás de nginx como reverse proxy para normalizar rutas, automatizar el escaneo de vulnerabilidades con trivy o grype, y suscribirse al feed RSS en advisories.atlassian.com para recibir nuevos avisos en pocas horas — todas estas medidas reducen drásticamente la superficie de ataque. Mantén siempre un procedimiento de rollback probado: un snapshot de disco del VPS antes de cada actualización o una copia de seguridad verificable de la base de datos.
Versiones vulnerables vs versiones corregidas para los tres productos principales
Desplace la tabla
| Producto | Versiones vulnerables | Versión corregida |
|---|---|---|
| Confluence Data Center | Todas las versiones < 9.2.26 (LTS) o < 10.2.19 | 9.2.26 (LTS) · 10.2.19 |
| Jira Software Data Center | Todas las versiones < 9.12.40 (LTS), < 10.3.26 o < 11.3.12 | 9.12.40 (LTS) · 10.3.26 · 11.3.12 |
| Jira Service Management DC | Todas las versiones < 5.12.40 (LTS), < 10.3.26 o < 11.3.12 | 5.12.40 (LTS) · 10.3.26 · 11.3.12 |
Conclusión
CVE-2026-21589 es una de las vulnerabilidades Atlassian más serias de los últimos años: no autenticada, cobertura de toda la gama de productos, y un CVSS de 9.3. El parche es sencillo de aplicar si tu despliegue sigue el diseño estándar de Atlassian, y las versiones corregidas están disponibles ahora mismo. El filtro nginx temporal gana tiempo, pero no es un sustituto de la actualización.
Lectura relacionada: [Migrar Jira a OpenProject o Plane en VPS](/blog/migrer-jira-openproject-plane-vps-2026) · [Authentik vs Authelia — SSO self-hosted](/blog/authentik-vs-authelia-sso-self-hosted) · [CrowdSec vs fail2ban — seguridad VPS](/blog/crowdsec-vs-fail2ban-securite-vps)
