Respuesta KEV de octubre de 2026 para Zammad y Atlassian: elegir correcciones según la versión y el método de instalación

Qué es

Estado al 25 de octubre de 2026. CISA añadió CVE-2026-102489 y CVE-2026-102490 de Zammad a KEV el 2 de octubre, y CVE-2026-21589 de Atlassian el 15 de octubre de 2026. Este artículo utiliza el aviso de versión de Zammad del 15 de octubre y su aviso de privilegios publicado el 8 de octubre, además del aviso de Atlassian modificado por última vez el 5 de octubre de 2026. Volver a consultar los avisos de versión, los requisitos de migración del repositorio y las acciones de KEV antes de dar por completada la corrección.

Zammad 6.5.5 proporciona una corrección excepcional de CVE-2026-102489 en la serie 6.5, que carece de soporte. El proveedor recomienda 7.2.2 cuando sea posible migrar. Para CVE-2026-102490, su aviso más reciente identifica como afectadas las instalaciones DEB/RPM de packager.io hasta 7.2.1 y como corregida la versión 7.2.2; quedan excluidas las instalaciones desde el código fuente y las imágenes oficiales de contenedor. Este fallo de privilegios locales requiere que ya se haya obtenido acceso a una cuenta de servicio.

El fallo de Atlassian permite acceder sin autenticación a determinados archivos de la raíz web de la aplicación afectada. Su aviso distingue las instalaciones autohospedadas de los productos en la nube afectados, que, según indica, ya se habían corregido sin necesidad de que los clientes actuaran.

Por qué importa

Que se pueda acceder a una página de inicio de sesión no demuestra que esté contenido un fallo que no requiere autenticación. Del mismo modo, actualizar una aplicación no demuestra que se haya eliminado un compromiso anterior del servidor. Mantener registros separados para la corrección de vulnerabilidades, las restricciones de acceso y la investigación de incidentes.

El flujo de trabajo siguiente es una propuesta de lista de comprobación para operadores. Da prioridad a las actualizaciones con soporte y a la conservación de pruebas, en lugar de realizar intentos para comprobar si se puede explotar la vulnerabilidad.

Cómo aplicarlo

• Hacer un inventario de cada instalación. Registrar el producto, el entorno de ejecución, el método de instalación del paquete, la versión y todos los servicios de backend o nodos del clúster accesibles. Para las instalaciones de Zammad mediante paquetes, dpkg-query -W zammad o rpm -q zammad aportan pruebas del paquete; compararlas con la versión de la aplicación en ejecución. Comprobar las reglas de entrada propias y las observaciones autorizadas de accesibilidad externa sin enviar solicitudes de explotación.
• Actualizar Zammad con el repositorio correcto. Dar preferencia a la actualización con soporte a 7.2.2 o a una versión posterior confirmada por el proveedor. Si esa migración no está disponible temporalmente para una instalación 6.5, seguir las instrucciones de migración del repositorio enlazadas en el aviso de 6.5.5 antes de actualizar: la versión de emergencia solo está disponible en el nuevo repositorio. Conservar copias de seguridad recuperables de la base de datos y de los adjuntos. El aviso de 6.5.5 aborda CVE-2026-102489; no tratarlo como una prueba independiente de que se haya resuelto CVE-2026-102490.
• Utilizar la lista completa de versiones corregidas de Atlassian. Seleccionar la rama de versiones con soporte que corresponda; no interpretar una corrección en una rama como si también abarcara otra:

Producto	Versiones corregidas indicadas por el proveedor
Bitbucket Data Center	9.4.26; 10.2.8; 10.5.1
Confluence Data Center	9.2.26; 10.2.19
Jira Service Management Data Center	5.12.40; 10.3.26; 11.3.12
Jira Software Data Center	9.12.40; 10.3.26; 11.3.12
Bamboo Data Center	10.2.24; 12.1.12
Crowd Data Center	6.3.7; 7.0.3; 7.1.7; 7.2.4
Crucible	4.9.15
Fisheye	4.9.15

• Contener la exposición mientras se actualiza. Restringir el acceso público si no se puede completar de inmediato la actualización requerida. Aplicar cualquier configuración provisional del proveedor únicamente al producto documentado y verificar todas las vías de entrada. Mantener una fecha de vencimiento y un responsable de la actualización para las restricciones temporales.
• Investigar y verificar. Conservar los registros de acceso de la aplicación y del proxy; Atlassian proporciona recomendaciones para investigar los registros de acceso. Revisar las cuentas inesperadas, los cambios de configuración y la actividad privilegiada del equipo como pistas para la investigación. Registrar la versión en ejecución de cada nodo después de actualizar y probar el inicio de sesión, los adjuntos y las integraciones necesarias. Si las pruebas confirman que el equipo ha sido comprometido, conservarlas, reconstruir a partir de medios de confianza y rotar las credenciales de servicio expuestas desde un sistema limpio.

Trampas

Una búsqueda de indicadores sin coincidencias no demuestra la integridad cuando los registros están incompletos. La versión de emergencia de Zammad no restablece el soporte de la serie 6.5. No restaurar íntegramente una instalación que se sospecha comprometida en el entorno de sustitución. Mantener las dos CVE de Zammad y las actualizaciones por producto de Atlassian como decisiones de aceptación independientes.