============================================================================== CISA AÑADE A KEV FALLA DE ATLASSIAN EXPLOTADA EN DOS HORAS ============================================================================== Fuente: https://www.vantis.cl/noticias/cisa-kev-cve-2026-21589-atlassian-explotacion-dos-horas Publicado: 2026-10-23 (hora de Chile) Ambito: chile · Criticidad: critica Descargado: 2026-10-25 05:34 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs de acceso del servidor web o reverse proxy delante de Atlassian (nginx, Apache, IIS) · Logs de aplicación de Atlassian (atlassian-jira.log, confluence access log) · Logs de WAF si existe uno delante de la instancia · EDR en el host donde corre el servicio Atlassian ============================================================================== REGLA 1 de 3 · SIGMA (canonica, neutral) Posible explotación de CVE-2026-21589 en Atlassian Data Center (detección conductual) ============================================================================== Requiere: Logsource de servidor web o proxy inverso delante de la instancia Atlassian, con campos de ruta solicitada (cs-uri-stem), estado de autenticación y código de respuesta. Sin esto la regla no puede evaluarse. title: Posible explotación de CVE-2026-21589 en Atlassian Data Center id: 7f3a1e2d-4b6c-4f8a-9d2e-1c5b7a9f3e6d status: experimental description: | Deteccion por COMPORTAMIENTO, no por firma: no existen IOCs publicos (IP, dominio, hash) asociados a la explotacion de CVE-2026-21589 al momento de esta publicacion. Esta regla busca el patron de acceso no autenticado a rutas de archivos y directorios tipicamente restringidos en productos Atlassian Data Center, consistente con la vulnerabilidad CWE-552 (Files or Directories Accessible to External Parties). Debe ajustarse al entorno: revisar las rutas reales de la version instalada y el comportamiento normal de escaneo/backup antes de pasar a modo de bloqueo. references: - https://www.cisa.gov/news-events/alerts/2026/10/15/cisa-adds-one-known-exploited-vulnerability-catalog author: Vantis date: 2026-10-15 logsource: category: webserver product: atlassian detection: selection_path: cs-uri-stem|contains: - 'WEB-INF' - '/.git/' - 'META-INF' - 'web.xml' - '.properties' selection_status: sc-status: 200 selection_sin_auth: cs-username: null condition: selection_path and selection_status falsepositives: - Escaneos de seguridad autorizados (pentest, vulnerability scanning) - Herramientas de backup o indexacion que leen rutas similares - Monitoreo de disponibilidad (health checks) mal configurado para tocar esas rutas level: high ============================================================================== REGLA 2 de 3 · MICROSOFT SENTINEL - KQL Solicitudes a rutas sensibles de Atlassian vía WAF/firewall (conductual) ============================================================================== Requiere: Tabla CommonSecurityLog alimentada por el WAF, proxy o firewall que inspecciona tráfico HTTP hacia la instancia Atlassian // Deteccion conductual, no basada en IOC conocido: ajustar rutas segun version real de Atlassian en el entorno let SensitivePaths = dynamic(["WEB-INF","/.git/","META-INF","web.xml",".properties"]); CommonSecurityLog | where RequestURL has_any (SensitivePaths) | where DestinationPort in (80,443,8080,8443) | where ResponseCode == "200" | summarize count() by SourceIP, RequestURL, DeviceVendor, bin(TimeGenerated, 1h) ============================================================================== REGLA 3 de 3 · WAZUH / VERIFICACION EN HOST Decodificador de acceso web para patrón conductual de CVE-2026-21589 ============================================================================== Requiere: Decodificador de logs web (apache/nginx) habilitado en el agente Wazuh frente a la instancia Atlassian; regla base 31101 del access log como padre 31101 WEB-INF|\.git|META-INF|web\.xml|\.properties Posible explotacion de CVE-2026-21589 - acceso conductual a archivos restringidos en Atlassian Data Center web,attack,cve_2026_21589, ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== Estas reglas son experimentales y buscan comportamiento, no firma: no hay IOCs públicos (IP, dominio, hash) de esta campaña al momento de redactar esta pieza. Detectan la clase de patrón de acceso (CWE-552, archivos/directorios accesibles sin autenticación), no la explotación confirmada. Generan falsos positivos con escáneres de seguridad autorizados, crawlers que normalizan rutas, monitoreo de disponibilidad mal configurado, y herramientas de backup o indexación que acceden legítimamente a archivos de configuración. Ajustar las rutas exactas según la versión real instalada y contrastar contra el inventario de accesos autorizados antes de habilitar bloqueo automático. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================