Falha de path traversal na Atlassian pode expor arquivos do Jira, Confluence e outros produtos
A Atlassian corrigiu a vulnerabilidade CVE-2026-21589, classificada com 9,3 pontos na escala CVSS. O problema pode permitir que um invasor sem autenticação leia arquivos armazenados em oito produtos da empresa. A falha foi divulgada em 5 de outubro.
Estão entre os sistemas afetados Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo e Crowd nas edições Data Center, além de Crucible e Fisheye. O risco se concentra em instalações que precisam ser mantidas e atualizadas pelos próprios clientes.
A vulnerabilidade é do tipo path traversal, ou travessia de diretório. Ela ocorre porque o servidor aceita caminhos manipulados em que sequências usadas para subir na estrutura de pastas aparecem junto a barras, contrabarras ou pares de dois-pontos. Essas combinações também podem ser enviadas em formatos codificados na URL.
Com isso, uma solicitação preparada para explorar a falha pode contornar as restrições previstas para o acesso a arquivos. No entanto, o alcance não é ilimitado: a exploração depende de o invasor conhecer o nome e o caminho exatos do arquivo procurado. A vulnerabilidade também não permite listar diretórios, e a leitura fica restrita à raiz da aplicação web de cada produto.
Essas limitações reduzem as possibilidades de busca automática por documentos, mas não eliminam o perigo. Arquivos de configuração localizados em caminhos previsíveis podem conter informações importantes para a segurança da instalação. Por isso, a falha ainda pode expor dados úteis para novas tentativas de invasão.
A Atlassian disponibilizou correções em versões específicas. As atualizações indicadas incluem Bitbucket 10.5.1, Confluence 10.2.19, Jira Software e Jira Service Management 11.3.12, Bamboo 12.1.12, Crowd 7.2.4 e Crucible e Fisheye 4.9.15. Administradores devem confirmar qual versão está instalada e aplicar a atualização correspondente ao produto.
A empresa informou que sua investigação não identificou evidências de exploração nos produtos em nuvem. O aviso, porém, não esclarece se houve ataques contra ambientes hospedados e administrados pelos próprios clientes. A ausência de registros de exploração na nuvem, portanto, não deve ser interpretada como confirmação de que todas as instalações estão seguras.
Organizações que utilizam versões afetadas devem priorizar a atualização, especialmente quando os sistemas estão acessíveis pela internet ou armazenam informações internas. O primeiro passo é inventariar os produtos Atlassian em uso, verificar suas versões e identificar quais instâncias precisam de intervenção. Ambientes esquecidos ou mantidos por equipes diferentes podem passar despercebidos durante uma correção.
Se a atualização imediata não for possível, a equipe de segurança pode reduzir temporariamente a exposição limitando o acesso às interfaces por redes confiáveis, VPN ou controles de perímetro. Essas medidas não substituem o patch: servem apenas para diminuir a superfície de ataque enquanto a atualização é planejada e executada.
Também é recomendável revisar os registros do servidor em busca de solicitações incomuns com caminhos codificados ou sequências típicas de tentativa de navegação entre diretórios. A análise deve considerar o período anterior à instalação da correção e ser acompanhada da verificação de acessos inesperados a arquivos sensíveis. Como a exploração depende do conhecimento do caminho e do nome do arquivo, a investigação pode exigir atenção especial a requisições direcionadas, em vez de apenas varreduras genéricas.
Depois de aplicar a atualização, as equipes devem confirmar que todos os nós de cada instalação receberam a versão corrigida. Em ambientes distribuídos, corrigir apenas parte dos servidores pode deixar uma instância vulnerável em operação. A verificação final precisa incluir testes de acesso, monitoramento dos registros e validação do inventário para garantir que nenhum componente afetado permaneça desatualizado.