[{"data":1,"prerenderedAt":181},["ShallowReactive",2],{"seo-verification":3,"blog-cve-2026-21589-parche-atlassian-jira-confluence-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-cve-2026-21589-parche-atlassian-jira-confluence-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":30,"ctaBody":30,"ctaButton":115,"ctaUrl":116,"relatedPosts":117},431,"cve-2026-21589-parche-atlassian-jira-confluence",{"fr":12,"en":13,"ar":14,"es":10},"atlassian-cve-2026-21589-patch-jira-confluence-self-hosted","cve-2026-21589-patch-atlassian-jira-confluence-self-hosted","cve-2026-21589-patch-atlassian-jira-confluence","CVE-2026-21589: parchea Atlassian sin esperar","CVE-2026-21589 es un path traversal no autenticado (CVSS 9.3) que afecta todos los productos Atlassian Data Center. Versiones a parchear, comandos de verificación.",9,0,false,"2026-10-11T00:00:00+00:00","2026-10-13T14:10:28+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fatlassian-cve-2026-21589-patch-jira-confluence-self-hosted-poster.svg","El 5 de octubre de 2026, Atlassian publicó un aviso crítico para CVE-2026-21589, una vulnerabilidad de path traversal con puntuación CVSS v4.0 de 9.3. La explotación no requiere autenticación y afecta a todas las ediciones Data Center de Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible y Fisheye. Si tu instancia es accesible desde internet, aplicar el parche es la única mitigación fiable.",[35,39,51,54,82,86,89,92,112],{"type":36,"title":37,"body":38},"h2","Por qué esta vulnerabilidad es grave","CVE-2026-21589 es un path traversal activado por una secuencia de doble dos puntos (`::`) en las rutas de solicitudes HTTP. Un atacante que pueda alcanzar tu instancia por la red — sin ninguna credencial — puede leer archivos arbitrarios desde la raíz web de la aplicación. Dependiendo de la disposición de tu despliegue, esto puede incluir archivos de configuración, tokens internos o datos en caché que nunca debieron ser accesibles públicamente.\n\nLa puntuación CVSS v4.0 de 9.3 refleja tres factores acumulativos: no se requiere autenticación, no se necesita interacción del usuario, y el impacto es amplio en toda la familia de productos. Atlassian confirmó el parche el 5 de octubre de 2026. Las cuentas en la nube de Atlassian no están afectadas — el parche fue aplicado automáticamente. Este aviso concierne únicamente a los despliegues Data Center auto-alojados.",{"type":40,"title":41,"items":42},"ul","Productos y versiones afectados",[43,44,45,46,47,48,49,50],"**Confluence Data Center** — todas las versiones anteriores a 9.2.26 (línea LTS) y 10.2.19 (línea actual)","**Jira Software Data Center** — todas las versiones anteriores a 9.12.40 (LTS), 10.3.26 o 11.3.12","**Jira Service Management Data Center** — todas las versiones anteriores a 5.12.40 (LTS), 10.3.26 o 11.3.12","**Bitbucket Data Center** — consultar el aviso oficial en advisories.atlassian.com para la versión corregida específica","**Bamboo Data Center** — consultar el aviso oficial","**Crowd** — consultar el aviso oficial","**Crucible \u002F Fisheye** — consultar el aviso oficial","**Atlassian Cloud** — no afectado",{"type":36,"title":52,"body":53},"Requisitos previos antes de actualizar","Antes de aplicar cualquier parche, realice una copia de seguridad completa de su base de datos y del directorio home. Para Confluence, esto incluye la base de datos y el directorio `confluence.home` (archivos adjuntos, plugins, configuración). Para Jira, haga una copia de seguridad de la base de datos y de `jira.home`. Verifique que la copia de seguridad sea legible antes de continuar.\n\nCompruebe que se encuentra en una ruta de actualización compatible. Atlassian publica matrices de actualización; pasar de una versión muy antigua a una versión corregida reciente en un solo paso a veces no está soportado y requiere una parada intermedia. Utilice la herramienta Atlassian Upgrade Path Checker en my.atlassian.com antes de comenzar.\n\nConfirme que dispone de suficiente espacio en disco: el instalador descomprime una distribución completa junto a la instancia en ejecución. Para despliegues grandes de Confluence, prevea al menos 10 GB de espacio libre en el volumen de instalación.",{"type":55,"title":56,"steps":57},"steps","Verificar tu versión y aplicar el parche",[58,61,64,67,70,73,76,79],{"title":59,"body":60},"Identificar tu versión actual","En Confluence, navega a **Administración → Configuración general → Acerca de Confluence** o lee la clave `atlassian.version` en `confluence.home\u002Fconfluence.cfg.xml`. En Jira, ve a **Administración → Sistema → Información del sistema** y busca el campo Build, o ejecuta `grep -m1 'version' \u002Fopt\u002Fatlassian\u002Fjira\u002Fatlassian-jira\u002FMETA-INF\u002FMANIFEST.MF` en el host.",{"title":62,"body":63},"Descargar el instalador corregido","Obtén el instalador parcheado desde el centro de descargas oficial de Atlassian en `www.atlassian.com\u002Fsoftware\u002Fconfluence\u002Fdownload-archives` (Confluence) o la página equivalente para tu producto. Verifica el checksum SHA-256 contra el valor publicado en la página de descarga antes de ejecutar nada. No uses mirrors de terceros.",{"title":65,"body":66},"Activar el modo mantenimiento","En Confluence DC: ve a **Administración → Mantenimiento** y activa el modo mantenimiento. Para Jira DC, la opción equivalente está en **Administración → Sistema → Mantenimiento**. Espera a que las sesiones activas terminen o acepta una breve ventana de interrupción.",{"title":68,"body":69},"Detener el servicio de la aplicación","Ejecuta `sudo systemctl stop confluence` (o `jira`). Confirma que el proceso ya no escucha: `ss -tlnp | grep 8090` no debería devolver nada para el puerto por defecto de Confluence.",{"title":71,"body":72},"Ejecutar el instalador o descomprimir el archivo","Si usas el instalador `.bin`, hazlo ejecutable con `chmod +x atlassian-confluence-9.2.26-x64.bin` y ejecútalo como root. Elige **Upgrade** cuando se te solicite, apuntando el instalador a tu directorio de instalación existente.",{"title":74,"body":75},"Reiniciar y verificar que el servicio funciona","Inicia el servicio con `sudo systemctl start confluence` y sigue los logs: `tail -f \u002Fopt\u002Fatlassian\u002Fconfluence\u002Flogs\u002Fatlassian-confluence.log`. Espera la línea `Server startup in`. Luego abre la interfaz de administración y confirma que el número de versión mostrado coincide con la versión parcheada.",{"title":77,"body":78},"Para clústeres Data Center: actualizar nodo a nodo","En un clúster, retira un nodo del balanceador de carga, parchearlo, arráncalo, espera a que rejoining el clúster (comprueba en **Administración → Clustering**), y repite para el siguiente nodo. Nunca pongas todos los nodos fuera de línea simultáneamente.",{"title":80,"body":81},"Probar las funcionalidades básicas y verificar los logs","Tras la actualización, ejecuta un test de humo: crea una página en Confluence o una incidencia en Jira. Revisa los logs de aplicación (`tail -f \u002Fopt\u002Fatlassian\u002Fconfluence\u002Flogs\u002Fatlassian-confluence.log`) y verifica que no aparezcan errores `ClassNotFoundException` ni `PathTraversalDetected`. El parche cierra la vulnerabilidad CVE-2026-21589; un error durante el inicio indica una instalación incompleta. Comprueba también la versión desde la interfaz de administración para confirmar que se muestra el número de versión corregido.",{"type":83,"title":84,"body":85},"tip","Mitigación temporal si no es posible parchear ahora","Si no puedes aplicar el parche ahora, bloquea el acceso externo a la instancia por completo detrás de un reverse proxy y restringe el acceso a rangos de IP conocidos. A nivel nginx, puedes agregar un bloque `location` que rechace solicitudes que contengan la secuencia de doble dos puntos: `if ($request_uri ~* '::') { return 403; }`. Este es un filtro heurístico, no una solución real — puede ser eludido por variantes de codificación. No lo utilices como solución permanente. El aviso de Atlassian indica explícitamente que el filtrado a nivel de red no es un sustituto suficiente del parche.",{"type":36,"title":87,"body":88},"Verificar que tu instancia ya no es vulnerable","Tras el parche, confirma que la versión en la interfaz de administración coincide con la versión corregida. Puedes hacer una comprobación básica enviando una solicitud artesanal y verificando que devuelve un 400 o 403 en lugar del contenido de un archivo. Una ruta de prueba segura es solicitar `http:\u002F\u002Fvotre-domaine.com\u002Fconfluence\u002Fsetup\u002F::WEB-INF\u002Fweb.xml` — una instancia parcheada devuelve un error; una vulnerable devuelve el archivo.\n\nRevisa también tus logs de aplicación en busca de patrones de acceso históricos que coincidan con el traversal `::`: `grep '::' \u002Fopt\u002Fatlassian\u002Fconfluence\u002Flogs\u002Faccess.log`. Cualquier resultado anterior a la fecha del parche justifica una revisión de incidente más profunda.",{"type":36,"title":90,"body":91},"Medidas preventivas a largo plazo","Parchear CVE-2026-21589 aborda el riesgo inmediato, pero la lección más amplia es sobre la superficie de exposición. Restringir los puertos externos con reglas `ufw` estrictas, ejecutar la aplicación detrás de nginx como reverse proxy para normalizar rutas, automatizar el escaneo de vulnerabilidades con `trivy` o `grype`, y suscribirse al feed RSS en `advisories.atlassian.com` para recibir nuevos avisos en pocas horas — todas estas medidas reducen drásticamente la superficie de ataque. Mantén siempre un procedimiento de rollback probado: un snapshot de disco del VPS antes de cada actualización o una copia de seguridad verificable de la base de datos.",{"type":93,"title":94,"rows":95,"headers":108},"comparison","Versiones vulnerables vs versiones corregidas para los tres productos principales",[96,100,104],[97,98,99],"Confluence Data Center","Todas las versiones \u003C 9.2.26 (LTS) o \u003C 10.2.19","9.2.26 (LTS) · 10.2.19",[101,102,103],"Jira Software Data Center","Todas las versiones \u003C 9.12.40 (LTS), \u003C 10.3.26 o \u003C 11.3.12","9.12.40 (LTS) · 10.3.26 · 11.3.12",[105,106,107],"Jira Service Management DC","Todas las versiones \u003C 5.12.40 (LTS), \u003C 10.3.26 o \u003C 11.3.12","5.12.40 (LTS) · 10.3.26 · 11.3.12",[109,110,111],"Producto","Versiones vulnerables","Versión corregida",{"type":36,"title":113,"body":114},"Conclusión","CVE-2026-21589 es una de las vulnerabilidades Atlassian más serias de los últimos años: no autenticada, cobertura de toda la gama de productos, y un CVSS de 9.3. El parche es sencillo de aplicar si tu despliegue sigue el diseño estándar de Atlassian, y las versiones corregidas están disponibles ahora mismo. El filtro nginx temporal gana tiempo, pero no es un sustituto de la actualización.\n\nLectura relacionada: [Migrar Jira a OpenProject o Plane en VPS](\u002Fblog\u002Fmigrer-jira-openproject-plane-vps-2026) · [Authentik vs Authelia — SSO self-hosted](\u002Fblog\u002Fauthentik-vs-authelia-sso-self-hosted) · [CrowdSec vs fail2ban — seguridad VPS](\u002Fblog\u002Fcrowdsec-vs-fail2ban-securite-vps)","Desplegar en VPS seguro","\u002Fvps-cloud",[118,142,164],{"id":119,"slug":120,"slugs":121,"title":125,"excerpt":126,"readTime":127,"views":128,"isPinned":19,"publishedAt":129,"updatedAt":130,"category":131,"categories":136,"featuredImage":30,"bgImage":31,"posterImage":138,"relatedSolution":139},270,"migrar-de-jira-a-openproject-o-plane-en-vps",{"fr":122,"en":123,"ar":124,"es":120},"migrer-jira-openproject-plane-vps-2026","migrating-from-jira-data-center-to-openproject-or-plane-on-vps","هجرة-jira-data-center-إلى-openproject-أو-plane-على-vps","Migrar de Jira Data Center a OpenProject o Plane en VPS","Jira Data Center ya no vende licencias nuevas desde marzo de 2026 y pasará a solo lectura el 28 de marzo de 2029. Migre a OpenProject o Plane en VPS en un día.",13,1,"2026-08-16T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":132,"name":133,"slug":134,"color":135,"icon":134},3,"Despliegue","deploiement","bg-success\u002F10 text-success",[137],{"id":132,"name":133,"slug":134,"color":135,"icon":134},"\u002Fblog\u002Fcovers\u002Fmigrer-jira-openproject-plane-vps-2026-poster.svg",{"categorySlug":140,"appSlug":141},"colaboracion-productividad","plane",{"id":143,"slug":144,"slugs":145,"title":149,"excerpt":150,"readTime":17,"views":18,"isPinned":19,"publishedAt":151,"updatedAt":152,"category":153,"categories":158,"featuredImage":30,"bgImage":31,"posterImage":160,"relatedSolution":161},423,"authentik-vs-authelia-sso-comparativa-vps",{"fr":146,"en":147,"ar":148,"es":144},"authentik-vs-authelia-sso-self-hosted","authentik-vs-authelia-sso-comparison-vps","authentik-مقابل-authelia-sso-مستضاف-ذاتيا-vps","Authentik vs Authelia: ¿qué SSO autoalojado elegir para su VPS?","¿Authentik o Authelia para su SSO autoalojado? Comparativa técnica: protocolos OIDC\u002FSAML, huella de RAM, arquitectura y casos de uso para tomar la decisión correcta.","2026-10-08T00:00:00+00:00","2026-10-08T23:30:51+00:00",{"id":154,"name":155,"slug":156,"color":157,"icon":156},5,"Comparativas","comparatif","bg-info\u002F10 text-info",[159],{"id":154,"name":155,"slug":156,"color":157,"icon":156},"\u002Fblog\u002Fcovers\u002Fauthentik-vs-authelia-sso-self-hosted-poster.svg",{"categorySlug":162,"appSlug":163},"ciberseguridad-bastion","authentik",{"id":165,"slug":166,"slugs":167,"title":171,"excerpt":172,"readTime":173,"views":132,"isPinned":19,"publishedAt":174,"updatedAt":175,"category":176,"categories":177,"featuredImage":30,"bgImage":31,"posterImage":179,"relatedSolution":180},348,"crowdsec-vs-fail2ban-cual-elegir-para-tu-vps",{"fr":168,"en":169,"ar":170,"es":166},"crowdsec-vs-fail2ban-securite-vps","crowdsec-vs-fail2ban-which-to-choose-for-your-vps","crowdsec-مقابل-fail2ban-ايهما-تختار-لخادمك","CrowdSec vs Fail2ban: cuál elegir para proteger tu VPS","¿CrowdSec o Fail2ban en tu VPS Linux? Comparativa por caso de uso: lista de bloqueo comunitaria o simplicidad local — el árbol de decisión para elegir.",7,"2026-09-11T00:00:00+00:00","2026-09-11T11:34:13+00:00",{"id":154,"name":155,"slug":156,"color":157,"icon":156},[178],{"id":154,"name":155,"slug":156,"color":157,"icon":156},"\u002Fblog\u002Fcovers\u002Fcrowdsec-vs-fail2ban-securite-vps-poster.svg",{"categorySlug":162,"appSlug":30},1791901089396]