A Atlassian publicou um boletim de segurança sobre a CVE-2026-21589, uma vulnerabilidade de acesso arbitrário a arquivos (CWE-552, CVSS 9,3) que afeta as edições Data Center de oito produtos: Bitbucket, Confluence, Jira Software, Jira Service Management, Bamboo, Crowd, Crucible e Fisheye. A falha permite que um atacante remoto e não autenticado leia arquivos específicos dentro do diretório raiz da aplicação web, desde que já saiba o nome e o caminho exatos do arquivo — o atacante não consegue listar o conteúdo de diretórios, mas, mesmo com essa limitação, o acesso a arquivos de configuração ou credenciais pode abrir caminho para um comprometimento maior. A CISA incluiu a falha em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV) em 15 de outubro de 2026, confirmando que está "sendo usada em ataques reais", com prazo de correção para agências federais dos EUA até 18 de outubro de 2026.
A correção está disponível nas versões: Bitbucket Data Center 9.4.26, 10.2.8 ou 10.5.1; Confluence Data Center 9.2.26 ou 10.2.19; Jira Service Management Data Center 5.12.40, 10.3.26 ou 11.3.12; Jira Software Data Center 9.12.40, 10.3.26 ou 11.3.12; Bamboo Data Center 10.2.24 ou 12.1.12; Crowd Data Center 6.3.7, 7.0.3, 7.1.7 ou 7.2.4; e Crucible/Fisheye 4.9.15. Segundo a Atlassian, clientes da versão em nuvem (Cloud) não precisam agir, pois a correção já foi aplicada automaticamente pela empresa — o risco recai inteiramente sobre quem opera essas ferramentas na própria infraestrutura (Data Center).
Por que isso importa para uma PME brasileira: é comum que empresas de tecnologia, consultorias e equipes de desenvolvimento brasileiras rodem Jira, Confluence ou Bitbucket na própria infraestrutura (on-premises) em vez da versão em nuvem, seja por custo, por exigência de algum cliente ou por decisão antiga de TI que nunca foi revisada. Se esse for o caso da sua empresa ou de um fornecedor que hospeda esses sistemas para você, a falha está exposta a qualquer atacante na internet que descubra o endereço do servidor, sem precisar de login algum.
O que fazer agora: levante com sua equipe de TI, ou com o fornecedor que administra seus sistemas, se há alguma versão Data Center do Bitbucket, Confluence, Jira (Software ou Service Management), Bamboo, Crowd, Crucible ou Fisheye em uso — e aplique a versão corrigida correspondente o quanto antes. Se a migração não for possível de imediato, restrinja o acesso ao servidor apenas a redes internas ou VPN corporativa, e revise os logs de acesso em busca de padrões de requisição que tentem alcançar arquivos fora do esperado.
Fonte primária: boletim de segurança da Atlassian sobre a CVE-2026-21589.
