A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) incluiu em seu catálogo KEV uma falha de segurança identificada como CVE-2026-21589, que afeta diversos produtos da Atlassian, empresa conhecida por ferramentas de trabalho em equipe e desenvolvimento de software.

Os produtos afetados na versão Data Center são Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo, Crowd, Crucible e Fisheye. O problema é classificado como arquivos ou diretórios acessíveis a partes externas, o que significa que o sistema deixa alcançar arquivos que deveriam ficar protegidos.

Imagine um prédio em que a porta da recepção está trancada, mas uma janela dos fundos ficou aberta. Quem chega de fora, sem crachá, consegue entrar por ela e pegar documentos que estavam guardados. Segundo a descrição, um atacante sem autenticação pode acessar arquivos específicos dentro do diretório raiz da aplicação web nas versões afetadas.

A CISA definiu como prazo para as agências federais dos Estados Unidos a aplicação das mitigações até 18 de outubro de 2026, com data de inclusão no catálogo em 15 de outubro de 2026. A agência não informou se a falha já é usada em campanhas de ransomware.

O que fazer: a recomendação é aplicar as mitigações conforme as instruções do fabricante, a Atlassian. Quando não houver mitigação disponível, a orientação é deixar de usar o produto afetado, ou seguir as diretrizes de serviços em nuvem da própria CISA. Cada organização deve avaliar quais de seus sistemas estão expostos à internet e priorizar a correção. A Atlassian publicou um comunicado oficial com detalhes sobre a falha, disponível em seu site de segurança.