Las agencias federales de EE. UU. tienen hasta el 18 de octubre para parchear la vulnerabilidad explotada de Atlassian; su nube no requiere ninguna acción
Las agencias federales deben parchear la CVE-2026-21589 para el 18 de octubre. El fallo solo existe en los productos autoalojados de Atlassian, el segmento que la compañía lleva una década empujando hacia la nube. La otra Atlassian es la que el mercado ha revalorizado: la de los 52.000 millones de dólares.
Vincent Jiang · 3 min read
El 15 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió la CVE-2026-21589 a su catálogo de vulnerabilidades explotadas conocidas, la lista que obliga a las agencias federales a corregir en un plazo determinado todo lo que aparece en ella 1. En este caso, la fecha límite es el 18 de octubre: mañana 1.
Un fallo de lectura de archivos de gravedad 9,3, a parchear mañana
Atlassian−5.31% — Atlassian, down 5.31 percent today, la creadora de Jira, Confluence y Bitbucket, publicó su boletín el 5 de octubre: una vulnerabilidad calificada de crítica, con un 9,3 sobre 10 en la escala de gravedad CVSS, que permite a un atacante sin autenticación previa leer archivos de la raíz web de un servidor cuando conoce la ruta exacta 2. Están afectadas todas las versiones anteriores a las versiones corregidas de ocho productos autoalojados de la gama Data Center, entre ellos Bitbucket, Confluence, ambos productos Jira, Bamboo, Crowd, Crucible y Fisheye 2.
Cómo los investigadores convirtieron la lectura de un archivo en acceso de administrador
watchTowr Labs, una firma de investigación en ciberseguridad ofensiva, publicó su análisis el 6 de octubre 3. Una biblioteca compartida del código de recursos web de Atlassian convierte las secuencias de doble dos puntos (::) en separadores de directorios, de modo que una cadena como ..:: esquiva los controles de ruta y lee archivos dentro del servidor de aplicaciones 3. En un despliegue de Jira conectado a Crowd, el centro de identidad e inicio de sesión único de Atlassian, los investigadores leyeron crowd.properties, se hicieron con su contraseña de aplicación —en texto claro— y crearon un usuario en el grupo jira-administrators 3.
Servidores expuestos en cifras de seis o siete dígitos, y los primeros intentos a las dos horas
watchTowr situó el número de servidores expuestos «en el rango de seis a siete dígitos», tras una búsqueda rápida que localizó casi 700.000 instancias solo de Confluence 3. Previdian, una firma de monitorización de seguridad, informó de que sus honeypots registraron 15 intentos desde tres direcciones IP de Japón y Estados Unidos, que empezaron dos horas después de la publicación de la prueba de concepto 45. El resumen de la propia watchTowr fue más tajante: Atlassian «está castigando al resto de nosotros por ejecutar sus sistemas on-premise» 3.
La gama explotada es la que la revalorización olvidó
El boletín de seguridad de Atlassian incluye la frase que los alcistas pueden esgrimir: los productos de la nube afectados «ya han sido parcheados y nuestra investigación no ha encontrado evidencias de explotación. No se requiere ninguna acción por parte de los clientes de la nube» 2. Ese mismo mes, Bitbucket Cloud se abrió a los asistentes de IA por OAuth a través del servidor MCP de Atlassian, el conector del Model Context Protocol (MCP), lo que permite a los agentes gestionar pull requests y commits con los permisos ya existentes 6.
Esa nube orientada a los agentes es la Atlassian que el mercado tiene en cartera: unos 52.000 millones de dólares a unas ocho veces las ventas de los últimos doce meses, tras una subida de la acción de más del 200% en 120 días 7.
Los ingresos aceleran de nuevo hasta crecer un 27,6% interanual en el trimestre de junio
Data
| Ingresos | |
|---|---|
| T1 '24 | $1.19B |
| T2 '24 | $1.13B |
| T3 '24 | $1.19B |
| T4 '24 | $1.29B |
| T1 '25 | $1.36B |
| T2 '25 | $1.38B |
| T3 '25 | $1.43B |
| T4 '25 | $1.59B |
| T1 '26 | $1.79B |
| T2 '26 | $1.77B |
Crecimiento del 27,6% y primer beneficio operativo desde principios de 2024
Los resultados del trimestre de junio que sostienen la revalorización son hechos contrastados: ingresos de 1.766 millones de dólares, un 27,6% más, y el primer margen operativo positivo en términos GAAP desde el trimestre de marzo de 2024 8. Los ingresos de la nube crecieron un 31%, hasta los 1.210 millones de dólares 7. El fallo está en otra parte: en las instalaciones on-premise de las grandes empresas y agencias, la gama que Atlassian lleva una década trasladando al modelo de suscripción con su discurso de «Ascend to the Atlassian cloud» («asciende a la nube de Atlassian») 9.
El 11,9% del trimestre de junio es el primer margen positivo desde el T1 de 2024
Data
| Margen operativo | |
|---|---|
| T3 '23 | -1.9% |
| T4 '23 | -4.6% |
| T1 '24 | 1.5% |
| T2 '24 | -5.9% |
| T3 '24 | -2.7% |
| T4 '24 | -4.5% |
| T1 '25 | -0.9% |
| T2 '25 | -2.1% |
| T3 '25 | -6.7% |
| T4 '25 | -3% |
| T1 '26 | -3.1% |
| T2 '26 | 11.9% |
Los parches existen, y los alcistas tienen pruebas
Ya hay versiones corregidas disponibles para los ocho productos, y el propio watchTowr señala que la lista blanca de direcciones IP en Crowd atenúa la cadena de ataque más grave 23. El consejero delegado, Mike Cannon-Brookes, se ha comprometido a comprar acciones de la compañía por valor de hasta 250 millones de dólares, y Bank of America−0.91% — Bank of America, down 0.91 percent today ha elevado su recomendación a compra con un precio objetivo de 175 dólares, al considerar a Atlassian «un beneficiario de la IA, no una víctima de la IA» 7. Aún no hay nada público que mida si agencias o empresas están abandonando la gama Data Center por este fallo. Hasta que exista, el CVE es un coste de parcheo y un argumento para la campaña de renovaciones, no una partida de ingresos.
El 5 de noviembre responderá a otra pregunta
TEAM cerró el 16 de octubre en 207,82 dólares, un 4,3% menos en la sesión, una caída que este seguimiento no atribuye al CVE 9. La publicación de resultados del primer trimestre de su ejercicio fiscal de 2027 llega el 5 de noviembre de 2026, con la compañía previendo un crecimiento del 18% para el año en los ingresos recurrentes anuales (ARR) de suscripciones, frente al 31% de crecimiento de la nube que impulsó la revalorización 7. A las agencias federales les vence el plazo mañana; la pregunta del mercado, que se responderá el 5 de noviembre, es cuál de las dos tasas de crecimiento refleja el ritmo real del negocio.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
