CISA inclui falha crítica explorada em oito produtos Atlassian no catálogo KEV

A CISA adicionou a CVE-2026-21589 ao catálogo de vulnerabilidades conhecidas e exploradas em 15 de outubro. A falha afeta Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible e Fisheye.

Segundo a Atlassian, um atacante sem autenticação pode acessar arquivos específicos dentro do diretório raiz da aplicação quando conhece o nome e o caminho exatos. A empresa classifica a vulnerabilidade como crítica, com pontuação CVSS 4.0 de 9,3, e informa que todas as versões anteriores às correções listadas no boletim estão afetadas. Produtos Atlassian Cloud já foram corrigidos e não exigem ação dos clientes.

A orientação principal é atualizar cada instalação para uma versão corrigida. Quando a correção imediata não for possível, a Atlassian recomenda retirar a instância da internet ou aplicar uma das regras temporárias de bloqueio descritas no boletim. A CISA definiu 18 de outubro como prazo para os órgãos federais abrangidos e exige triagem forense dos ativos.

Administradores também devem decodificar as solicitações registradas nos logs e procurar tentativas de travessia de diretórios. A ausência de evidência confirmada pelo fornecedor não elimina o risco, pois a entrada no KEV indica exploração observada no mundo real.