---
title: "Las agencias federales de EE. UU. tienen hasta el 18 de octubre para parchear la vulnerabilidad explotada de Atlassian; su nube no requiere ninguna acción"
description: "Las agencias federales deben parchear la CVE-2026-21589 para el 18 de octubre. El fallo solo existe en los productos autoalojados de Atlassian, el segmento que la compañía lleva una década empujando hacia la nube. La otra Atlassian es la que el mercado ha revalorizado: la de los 52.000 millones de dólares."
publisher: "The Inference"
section: "Safety"
published: 2026-10-17T17:05:38.296Z
modified: 2026-10-17T17:05:38.296Z
canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/es
language: es
keywords: "Atlassian, Cybersecurity, Vulnerabilities, Cloud Computing, CISA"
---

# Las agencias federales de EE. UU. tienen hasta el 18 de octubre para parchear la vulnerabilidad explotada de Atlassian; su nube no requiere ninguna acción

> Las agencias federales deben parchear la CVE-2026-21589 para el 18 de octubre. El fallo solo existe en los productos autoalojados de Atlassian, el segmento que la compañía lleva una década empujando hacia la nube. La otra Atlassian es la que el mercado ha revalorizado: la de los 52.000 millones de dólares.

El 15 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió la CVE-2026-21589 a su [catálogo de vulnerabilidades explotadas conocidas](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589), la lista que obliga a las agencias federales a corregir en un plazo determinado todo lo que aparece en ella [1]. En este caso, la fecha límite es el 18 de octubre: mañana [1].

## Un fallo de lectura de archivos de gravedad 9,3, a parchear mañana

[Atlassian](https://theinference.org/markets/companies/atlassian), la creadora de Jira, Confluence y Bitbucket, [publicó su boletín el 5 de octubre](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html): una vulnerabilidad calificada de crítica, con un 9,3 sobre 10 en la escala de gravedad CVSS, que permite a un atacante sin autenticación previa leer archivos de la raíz web de un servidor cuando conoce la ruta exacta [2]. Están afectadas todas las versiones anteriores a las versiones corregidas de ocho productos autoalojados de la gama Data Center, entre ellos Bitbucket, Confluence, ambos productos Jira, Bamboo, Crowd, Crucible y Fisheye [2].

## Cómo los investigadores convirtieron la lectura de un archivo en acceso de administrador

watchTowr Labs, una firma de investigación en ciberseguridad ofensiva, [publicó su análisis el 6 de octubre](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) [3]. Una biblioteca compartida del código de recursos web de Atlassian convierte las secuencias de doble dos puntos (::) en separadores de directorios, de modo que una cadena como ..:: esquiva los controles de ruta y lee archivos dentro del servidor de aplicaciones [3]. En un despliegue de Jira conectado a Crowd, el centro de identidad e inicio de sesión único de Atlassian, los investigadores leyeron crowd.properties, se hicieron con su contraseña de aplicación —en texto claro— y crearon un usuario en el grupo jira-administrators [3].

## Servidores expuestos en cifras de seis o siete dígitos, y los primeros intentos a las dos horas

watchTowr situó el número de servidores expuestos «en el rango de seis a siete dígitos», tras una búsqueda rápida que localizó casi 700.000 instancias solo de Confluence [3]. Previdian, una firma de monitorización de seguridad, informó de que [sus honeypots registraron 15 intentos desde tres direcciones IP de Japón y Estados Unidos](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/), que empezaron dos horas después de la publicación de la prueba de concepto [4][5]. El resumen de la propia watchTowr fue más tajante: Atlassian «está castigando al resto de nosotros por ejecutar sus sistemas on-premise» [3].

## La gama explotada es la que la revalorización olvidó

El boletín de seguridad de Atlassian incluye la frase que los alcistas pueden esgrimir: los productos de la nube afectados «ya han sido parcheados y nuestra investigación no ha encontrado evidencias de explotación. No se requiere ninguna acción por parte de los clientes de la nube» [2]. Ese mismo mes, [Bitbucket Cloud se abrió a los asistentes de IA por OAuth a través del servidor MCP de Atlassian](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp), el conector del Model Context Protocol (MCP), lo que permite a los agentes gestionar pull requests y commits con los permisos ya existentes [6].

Esa nube orientada a los agentes es la Atlassian que el mercado tiene en cartera: [unos 52.000 millones de dólares a unas ocho veces las ventas de los últimos doce meses](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/), tras una subida de la acción de más del 200% en 120 días [7].

*Chart: **Los ingresos aceleran de nuevo hasta crecer un 27,6% interanual en el trimestre de junio** Gráfico de líneas con los ingresos trimestrales de Atlassian, que suben de los 1.190 millones de dólares del primer trimestre de 2024 a los 1.770 millones del segundo de 2026, con el último trimestre señalado como el primer margen operativo positivo desde el primer trimestre de 2024.*

*Ingresos trimestrales en miles de millones de dólares, según la documentación presentada por Atlassian ante la SEC; las etiquetas son trimestres naturales, de modo que el segundo trimestre de 2026 equivale al cuarto trimestre fiscal, cerrado en junio de 2026. [8]*

## Crecimiento del 27,6% y primer beneficio operativo desde principios de 2024

Los resultados del trimestre de junio que sostienen la revalorización son hechos contrastados: [ingresos de 1.766 millones de dólares, un 27,6% más](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372), y el primer margen operativo positivo en términos GAAP desde el trimestre de marzo de 2024 [8]. Los ingresos de la nube crecieron un 31%, hasta los 1.210 millones de dólares [7]. El fallo está en otra parte: en las instalaciones on-premise de las grandes empresas y agencias, la gama que Atlassian lleva una década trasladando al modelo de suscripción con su discurso de [«Ascend to the Atlassian cloud»](https://investors.atlassian.com/) («asciende a la nube de Atlassian») [9].

*Chart: **El 11,9% del trimestre de junio es el primer margen positivo desde el T1 de 2024** Gráfico de líneas con el margen operativo GAAP de Atlassian por trimestre: negativo desde el T2 de 2024 hasta el T1 de 2026, y con un salto hasta el 11,9% positivo en el T2 de 2026.*

*Margen operativo GAAP como porcentaje de los ingresos, por trimestre natural, según la documentación presentada por Atlassian ante la SEC; las etiquetas son trimestres naturales, de modo que el segundo trimestre de 2026 equivale al cuarto trimestre fiscal, cerrado en junio de 2026. [8]*

## Los parches existen, y los alcistas tienen pruebas

Ya hay versiones corregidas disponibles para los ocho productos, y el propio watchTowr señala que la lista blanca de direcciones IP en Crowd atenúa la cadena de ataque más grave [2][3]. El consejero delegado, Mike Cannon-Brookes, se ha comprometido a comprar acciones de la compañía por valor de hasta 250 millones de dólares, y [Bank of America](https://theinference.org/markets/companies/bank-of-america) ha elevado su recomendación a compra con un precio objetivo de 175 dólares, al considerar a Atlassian «un beneficiario de la IA, no una víctima de la IA» [7]. Aún no hay nada público que mida si agencias o empresas están abandonando la gama Data Center por este fallo. Hasta que exista, el CVE es un coste de parcheo y un argumento para la campaña de renovaciones, no una partida de ingresos.

## El 5 de noviembre responderá a otra pregunta

TEAM cerró el 16 de octubre en 207,82 dólares, un 4,3% menos en la sesión, una caída que este seguimiento no atribuye al CVE [9]. La publicación de resultados del primer trimestre de su ejercicio fiscal de 2027 llega el 5 de noviembre de 2026, con la compañía previendo un crecimiento del 18% para el año en los ingresos recurrentes anuales (ARR) de suscripciones, frente al 31% de crecimiento de la nube que impulsó la revalorización [7]. A las agencias federales les vence el plazo mañana; la pregunta del mercado, que se responderá el 5 de noviembre, es cuál de las dos tasas de crecimiento refleja el ritmo real del negocio.

## Takeaway

El plazo del 18 de octubre fijado por la CISA cubre solo el segmento autoalojado de Atlassian; la nube, el negocio detrás de la revalorización hasta los 52.000 millones de dólares, no requiere ninguna acción, y el 5 de noviembre pondrá a prueba si el relato de crecimiento de la IA se sostiene.

## Sources

1. [CISA, Known Exploited Vulnerabilities Catalog entry for CVE-2026-21589, added 15 October 2026](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589)
2. [Atlassian Security Advisory, CVE-2026-21589 Arbitrary File Access Vulnerability impacts Multiple Products, 5 October 2026](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html)
3. [watchTowr Labs, You Won't Hear About These, Even In Myths (Atlassian Jira, Confluence and more pre-auth arbitrary file read, CVE-2026-21589), 6 October 2026](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/)
4. [SecurityAffairs, U.S. CISA adds Atlassian flaw to its Known Exploited Vulnerabilities catalog, 16 October 2026](https://securityaffairs.com/201086/hacking/u-s-cisa-adds-atlassian-flaw-to-its-known-exploited-vulnerabilities-catalog.html)
5. [BleepingComputer, Hackers exploit critical Atlassian flaw after public PoC release, 7 October 2026](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/)
6. [Atlassian blog, Connect Bitbucket Cloud to your AI tools with Atlassian MCP, October 2026](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp)
7. [Ainvest, The AI Narrative at Atlassian Has Flipped. Whether It Holds Depends on What the AI Actually Earns, 17 October 2026](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/)
8. [Atlassian, quarterly figures from its SEC filings, retrieved 17 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372)
9. [Atlassian Investor Relations, stock quote and cloud migration pages, retrieved 17 October 2026](https://investors.atlassian.com/)


---

Las agencias federales de EE. UU. tienen hasta el 18 de octubre para parchear la vulnerabilidad explotada de Atlassian; su nube no requiere ninguna acción — The Inference. Canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/es