Jira e Confluence: falha de nota 9,3 deixa ler arquivos do servidor sem senha — e os ataques começaram duas horas depois de os detalhes virem a público

Jira, Confluence e Bitbucket guardam o dia a dia de muitas empresas: os chamados do suporte, a documentação interna, o código-fonte, o planejamento dos projetos. Em 5 de outubro, a Atlassian publicou um alerta de segurança crítico, de nota 9,3, para oito produtos que o cliente instala no próprio servidor — as edições Data Center de Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo e Crowd, além do Crucible e do Fisheye.

O problema, catalogado como CVE-2026-21589, é de acesso arbitrário a arquivos: um invasor sem nenhuma conta consegue ler arquivos dentro da pasta da aplicação web. Há limites — é preciso saber o nome e o caminho exatos do arquivo, a falha não permite listar diretórios e o alcance fica restrito à pasta da aplicação. Mas a própria Atlassian avisa que, “em algumas configurações”, essa pasta guarda arquivos sensíveis o bastante para tornar a falha muito grave.

Do “só leitura” ao administrador

Foi exatamente isso que os pesquisadores da watchTowr mostraram no dia seguinte, ao comparar as versões vulnerável e corrigida. A causa: uma biblioteca compartilhada pelos produtos trata a sequência :: como se fosse uma barra /. Com isso, um endereço montado com :: escapa da pasta permitida pelos caminhos de recursos de plugins.

Em instalações do Jira integradas ao Crowd — o produto da Atlassian que centraliza logins —, a leitura alcança o arquivo crowd.properties, que guarda credenciais em texto puro. Com elas, os pesquisadores conseguiram criar um administrador no Jira pela interface do Crowd. Ou seja: a falha “de leitura” vira, nas condições certas, controle da ferramenta.

A watchTowr publicou também um verificador gratuito para ajudar administradores a testar as próprias instâncias. E a reação do outro lado foi imediata: segundo a empresa de segurança Previdian, que mantém uma rede de servidores-isca, as tentativas de exploração começaram em até duas horas depois da publicação da pesquisa.

Se a técnica do endereço disfarçado parece familiar, é porque é: foi o mesmo tipo de truque usado no gerenciador de SD-WAN da Cisco, com uma letra codificada, e nos ataques ao Oracle PeopleSoft que driblavam o firewall trocando uma letra. O filtro olha o texto; o servidor interpreta outra coisa.

Quem precisa agir — e como

Quem usa as versões em nuvem (Atlassian Cloud) pode respirar: a Atlassian já corrigiu e diz que nenhuma ação é necessária, sem evidência de exploração nesse ambiente.

Quem tem os produtos instalados no próprio servidor precisa atualizar. As versões corrigidas são:

• Jira Software: 9.12.40, 10.3.26 ou 11.3.12
• Jira Service Management: 5.12.40, 10.3.26 ou 11.3.12
• Confluence: 9.2.26 ou 10.2.19
• Bitbucket: 9.4.26, 10.2.8 ou 10.5.1
• Bamboo: 10.2.24 ou 12.1.12
• Crowd: 6.3.7, 7.0.3, 7.1.7 ou 7.2.4
• Crucible e Fisheye: 4.9.15

A Atlassian lembra que não publica mais correções binárias avulsas — o caminho é subir de versão. Enquanto isso não acontece, o aviso traz alternativas: tirar a instância da internet, aplicar no firewall de aplicação ou no proxy uma regra que bloqueie endereços com .. ao lado de /, \ ou :: — inclusive nas formas codificadas —, ou ativar uma regra de reescrita no Tomcat (no Bitbucket, no arquivo de reescrita de URLs).

A pergunta que a Atlassian não consegue responder

Há uma frase no aviso que merece atenção: para as instalações próprias, a Atlassian diz que não tem como saber se elas foram afetadas, e recomenda que as equipes de segurança procurem sinais de comprometimento. O próprio aviso ensina como: revisar os logs de acesso decodificando cada linha de requisição — em até duas passagens, porque o truque pode vir codificado duas vezes — e procurar .. ao lado de /, \ ou ::.

Para quem integra o Jira ao Crowd, a revisão não termina no log. Se houver qualquer sinal de leitura indevida, as credenciais guardadas no crowd.properties devem ser tratadas como vazadas e trocadas — e vale conferir se apareceu algum administrador que ninguém lembra de ter criado.

Fontes

• Atlassian — “CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products” (05/10/2026): confluence.atlassian.com
• watchTowr Labs — análise técnica da CVE-2026-21589 (06/10/2026): labs.watchtowr.com
• BleepingComputer — “Hackers exploit critical Atlassian flaw after public PoC release” (07/10/2026): bleepingcomputer.com

• NIST — National Vulnerability Database, CVE-2026-21589: nvd.nist.gov

• Foto de capa: escritório da Atlassian em Yokohama, no Japão — Thirteen-fri, CC BY-SA 3.0, via Wikimedia Commons

• Segunda imagem: estande da Atlassian no Web Summit 2017, em Lisboa — Web Summit, CC BY 2.0, via Wikimedia Commons