--- title: "Agências federais dos EUA têm até 18 de outubro para corrigir falha já explorada da Atlassian; produtos de nuvem dispensam ação" description: "As agências federais precisam corrigir a CVE-2026-21589 até 18 de outubro — e a falha existe apenas nos produtos instalados nos servidores dos próprios clientes, a linha que a Atlassian empurra para a nuvem há uma década. A outra Atlassian é a reprecificada, de US$ 52 bilhões." publisher: "The Inference" section: "Safety" published: 2026-10-17T17:05:38.296Z modified: 2026-10-17T17:05:38.296Z canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/pt language: pt keywords: "Atlassian, Cybersecurity, Vulnerabilities, Cloud Computing, CISA" --- # Agências federais dos EUA têm até 18 de outubro para corrigir falha já explorada da Atlassian; produtos de nuvem dispensam ação > As agências federais precisam corrigir a CVE-2026-21589 até 18 de outubro — e a falha existe apenas nos produtos instalados nos servidores dos próprios clientes, a linha que a Atlassian empurra para a nuvem há uma década. A outra Atlassian é a reprecificada, de US$ 52 bilhões. Em 15 de outubro de 2026, a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) incluiu a CVE-2026-21589 em seu [catálogo de Vulnerabilidades Conhecidas e Exploradas](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589), a lista que obriga as agências federais a corrigir tudo o que nela entra até uma data determinada [1]. Neste caso, o prazo é 18 de outubro — amanhã [1]. ## Leitura de arquivos com nota 9,3, correção marcada para amanhã A [Atlassian](https://theinference.org/markets/companies/atlassian), dona de Jira, Confluence e Bitbucket, [divulgou seu comunicado de segurança em 5 de outubro](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html): uma falha classificada como crítica, com nota 9,3 na escala de gravidade CVSS, de dez pontos, que permite a um invasor não autenticado ler arquivos no diretório raiz do servidor web desde que conheça o caminho exato [2]. Todas as versões anteriores às corrigidas dos oito produtos Data Center, de instalação local, estão afetadas, incluindo Bitbucket, Confluence, os dois produtos Jira, Bamboo, Crowd, Crucible e Fisheye [2]. ## Como pesquisadores transformaram leitura de arquivos em acesso de administrador A watchTowr Labs, empresa de pesquisa em segurança ofensiva, [publicou sua análise em 6 de outubro](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) [3]. Uma biblioteca compartilhada no código de recursos web da Atlassian converte sequências de dois-pontos duplos em separadores de diretório. Com isso, a string ..:: escapa das verificações de caminho e lê arquivos dentro do servidor de aplicação [3]. Em uma instalação do Jira ligada ao Crowd, hub de identidade e login único da Atlassian, os pesquisadores leram o arquivo crowd.properties, capturaram a senha de aplicação em texto claro e criaram um usuário no grupo jira-administrators [3]. ## Servidores expostos na casa de seis a sete dígitos, e as primeiras tentativas em duas horas A watchTowr estimou o número de sistemas expostos "na casa de seis a sete dígitos", depois que uma busca rápida encontrou pouco menos de 700 mil instâncias apenas do Confluence [3]. A Previdian, empresa de monitoramento de segurança, disse que [seus honeypots registraram 15 tentativas vindas de três endereços IP no Japão e nos Estados Unidos](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/), começando duas horas após a publicação da prova de conceito [4][5]. O resumo da própria watchTowr foi mais direto: a Atlassian está "punindo o resto de nós por rodar seus sistemas on-premise" [3]. ## A linha explorada é a que a reprecificação esqueceu O comunicado de segurança da Atlassian traz a frase que a tese otimista pode citar: os produtos de nuvem afetados "já foram corrigidos, e nossa investigação não encontrou evidências de exploração. Nenhuma ação é necessária por parte dos clientes da nuvem" [2]. No mesmo mês, [o Bitbucket Cloud abriu-se aos assistentes de IA via OAuth, por meio do servidor MCP da Atlassian](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp), o conector do Model Context Protocol, permitindo que agentes gerenciem pull requests e commits sob as permissões existentes [6]. Essa nuvem voltada a agentes é a Atlassian que o mercado tem em carteira: [cerca de US$ 52 bilhões, ou aproximadamente oito vezes as vendas dos últimos 12 meses](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/), após uma valorização de mais de 200% em 120 dias [7]. *Chart: **Receita reacelera para alta anual de 27,6% no trimestre de junho** Gráfico de linhas da receita trimestral da Atlassian, subindo de US$ 1,19 bilhão no 1T24 para US$ 1,77 bilhão no 2T26, com o último trimestre marcado como a primeira margem operacional positiva desde o 1T24.* *Receita trimestral, em bilhões de dólares, com base nos documentos da Atlassian na SEC; os rótulos seguem trimestres civis, de modo que o 2T26 é o 4º trimestre fiscal, encerrado em junho de 2026. [8]* ## Crescimento de 27,6% e o primeiro lucro operacional desde o início de 2024 Os resultados do trimestre de junho que sustentam a reprecificação são fato documentado: [receita de US$ 1,766 bilhão, alta de 27,6%](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372), e a primeira margem operacional positiva pelo GAAP desde o primeiro trimestre de 2024 [8]. A receita de nuvem cresceu 31%, para US$ 1,21 bilhão [7]. A falha está em outro lugar: nas instalações on-premise de grandes empresas e agências, a linha que a Atlassian leva uma década migrando para o modelo de assinaturas, sob seu [discurso de "Ascend to the Atlassian cloud"](https://investors.atlassian.com/) [9]. *Chart: **A margem de 11,9% do trimestre de junho é a primeira positiva desde o 1T24** Gráfico de linhas da margem operacional GAAP da Atlassian por trimestre, negativa do 2T24 ao 1T26 e, então, saltando para 11,9% positiva no 2T26.* *Margem operacional GAAP como parcela da receita, por trimestre civil, com base nos documentos da Atlassian na SEC; os rótulos seguem trimestres civis, de modo que o 2T26 é o 4º trimestre fiscal, encerrado em junho de 2026. [8]* ## Correções existem, e a tese otimista tem provas Versões corrigidas já estão disponíveis para os oito produtos, e a própria watchTowr observa que a lista de permissões de IP (IP allowlisting) no Crowd atenua o pior encadeamento de ataque [2][3]. O CEO Mike Cannon-Brookes comprometeu-se a comprar até US$ 250 milhões em ações, e o [Bank of America](https://theinference.org/markets/companies/bank-of-america) elevou a recomendação para compra, com preço-alvo de US$ 175, chamando a Atlassian de "beneficiária da IA, e não vítima" [7]. Ainda não há nada público que meça agências ou empresas deixando o Data Center por causa desta falha. Até que exista, o CVE é um custo de correção e um argumento para a temporada de renovações — não uma linha de receita. ## 5 de novembro responde a outra pergunta A ação da Atlassian (TEAM) fechou em 16 de outubro a US$ 207,82, com queda de 4,3% no dia — movimento que este registro não atribui ao CVE [9]. O balanço do primeiro trimestre do ano fiscal de 2027 será divulgado em 5 de novembro de 2026, com crescimento do ARR (receita recorrente anual) de assinaturas projetado em 18% para o ano, contra os 31% de expansão da nuvem que impulsionaram a reprecificação [7]. As agências federais têm prazo até amanhã; a pergunta do mercado, respondida em 5 de novembro, é qual das duas taxas de crescimento se confirma como o run rate (ritmo sustentado). ## Takeaway O prazo da CISA, 18 de outubro, vale apenas para a linha de instalação local da Atlassian; a linha em nuvem, por trás da reprecificação de US$ 52 bilhões, não exige ação — e 5 de novembro testará se a narrativa de crescimento com IA se sustenta. ## Sources 1. [CISA, Known Exploited Vulnerabilities Catalog entry for CVE-2026-21589, added 15 October 2026](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589) 2. [Atlassian Security Advisory, CVE-2026-21589 Arbitrary File Access Vulnerability impacts Multiple Products, 5 October 2026](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html) 3. [watchTowr Labs, You Won't Hear About These, Even In Myths (Atlassian Jira, Confluence and more pre-auth arbitrary file read, CVE-2026-21589), 6 October 2026](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) 4. [SecurityAffairs, U.S. CISA adds Atlassian flaw to its Known Exploited Vulnerabilities catalog, 16 October 2026](https://securityaffairs.com/201086/hacking/u-s-cisa-adds-atlassian-flaw-to-its-known-exploited-vulnerabilities-catalog.html) 5. [BleepingComputer, Hackers exploit critical Atlassian flaw after public PoC release, 7 October 2026](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/) 6. [Atlassian blog, Connect Bitbucket Cloud to your AI tools with Atlassian MCP, October 2026](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp) 7. [Ainvest, The AI Narrative at Atlassian Has Flipped. Whether It Holds Depends on What the AI Actually Earns, 17 October 2026](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/) 8. [Atlassian, quarterly figures from its SEC filings, retrieved 17 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372) 9. [Atlassian Investor Relations, stock quote and cloud migration pages, retrieved 17 October 2026](https://investors.atlassian.com/) --- Agências federais dos EUA têm até 18 de outubro para corrigir falha já explorada da Atlassian; produtos de nuvem dispensam ação — The Inference. Canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/pt