Atlassian-Lücke CVE-2026-21589: Acht Produkte betroffen, Fix seit 5. Oktober

Wer in seinem Unternehmen eine selbst gehostete Instanz von Jira, Confluence oder Bitbucket betreibt, sollte diese Woche einen Blick auf die Versionsnummer werfen. Am 5. Oktober 2026 hat Atlassian laut eigenem Sicherheitsadvisory (öffnet in neuem Tab) eine kritische Schwachstelle geschlossen, die gleich acht verschiedene Data-Center- und Server-Produkte betrifft – von Projektmanagement über Wiki bis Versionsverwaltung. Die EU-eigene Cybersicherheitsbehörde CERT-EU hat dazu einen eigenen Sicherheitshinweis (öffnet in neuem Tab) veröffentlicht und rät zur sofortigen Aktualisierung, beginnend bei aus dem Internet erreichbaren Instanzen.

Was die Lücke konkret ermöglicht

CVE-2026-21589 ist laut Atlassians eigenem Advisory eine Arbitrary-File-Access-Schwachstelle mit einem CVSS-Wert von 9,3 – einem Wert, den Atlassian selbst berechnet und der in die Kategorie "kritisch" fällt. CERT-EU (öffnet in neuem Tab) beschreibt die praktische Auswirkung so: Ein nicht authentifizierter Angreifer kann auf bestimmte Dateien innerhalb des Web-Root-Verzeichnisses der Anwendung zugreifen, sofern er Namen und genauen Pfad der Datei bereits kennt. Ein Durchsuchen oder Auflisten von Verzeichnisinhalten ist laut CERT-EU damit nicht möglich – die Lücke erlaubt also kein beliebiges Ausspähen, sondern das gezielte Lesen bekannter Dateien.

Das IT-Sicherheitsunternehmen watchTowr (öffnet in neuem Tab) weist darauf hin, dass gerade Konfigurationen mit sensiblen Dateien im Web-Verzeichnis ein erhöhtes Risiko tragen – Atlassian selbst merkt im Advisory an, dass manche Installationen dort schützenswerte Dateien ablegen. Nach Angaben von Atlassian und CERT-EU liegt bislang keine aktive Ausnutzung der Lücke in freier Wildbahn vor; watchTowr bestätigt das mit Stand 6. Oktober 2026.

Welche Produkte betroffen sind

Laut dem Atlassian-Advisory (öffnet in neuem Tab) sind alle Versionen folgender Produkte vor den genannten Fixes betroffen:

• Confluence Data Center – behoben in 9.2.26 und 10.2.19
• Jira Software Data Center – behoben in 9.12.40, 10.3.26 und 11.3.12
• Jira Service Management Data Center – behoben in 5.12.40, 10.3.26 und 11.3.12
• Bitbucket Data Center – behoben in 9.4.26, 10.2.8 und 10.5.1
• Bamboo Data Center – behoben in 10.2.24 und 12.1.12
• Crowd Data Center – behoben in 6.3.7, 7.0.3, 7.1.7 und 7.2.4
• Crucible – behoben in 4.9.15
• Fisheye – behoben in 4.9.15

Ausdrücklich nicht betroffen sind laut Atlassian die Cloud-Varianten dieser Produkte – diese wurden bereits serverseitig vom Hersteller gepatcht, ohne dass Kunden etwas tun müssen. Betroffen ist ausschließlich der selbst gehostete Data-Center- und Server-Betrieb.

Was tun, wenn ein sofortiger Patch nicht möglich ist

Wo eine unmittelbare Aktualisierung nicht machbar ist, empfiehlt CERT-EU (öffnet in neuem Tab) als wirksamste Zwischenlösung, die betroffene Instanz vollständig vom Internet zu trennen – ausdrücklich auch solche Instanzen, die ohnehin eine Anmeldung voraussetzen. Alternativ nennt CERT-EU drei technische Übergangsmaßnahmen direkt aus Atlassians Advisory: eine Filterregel auf Web-Application-Firewall- oder Proxy-Ebene gegen Pfad-Traversal-Muster, die Aktivierung von Tomcats RewriteValve mit einer passenden Konfigurationsdatei für Confluence, Jira, Bamboo und Crowd, oder eine Sperrregel in der URL-Rewrite-Konfiguration bei Bitbucket. Alle drei Varianten ersetzen laut CERT-EU das Patchen nicht vollständig und sollten nur als Überbrückung bis zur Aktualisierung dienen.

Zusätzlich rät CERT-EU, vorhandene Zugriffsprotokolle auf Hinweise einer bereits erfolgten Ausnutzung zu prüfen – konkret auf Pfad-Traversal-Sequenzen (..) unmittelbar neben Schrägstrichen oder deren URL-kodierten Varianten. Besteht der Verdacht auf eine Kompromittierung, empfiehlt CERT-EU, betroffene Zugangsdaten und Geheimnisse umgehend zu rotieren und die zuständige Cybersicherheitsbehörde zu kontaktieren.

Was jetzt zu tun ist

1. Bestand prüfen. Welche Atlassian-Data-Center-Produkte sind im Unternehmen im Einsatz, und auf welcher Version laufen sie? Ohne diese Übersicht lässt sich die Dringlichkeit nicht einschätzen.
2. Internetseitige Instanzen zuerst patchen. Sowohl Atlassian als auch CERT-EU empfehlen diese Priorisierung ausdrücklich – das Risiko ist bei öffentlich erreichbaren Systemen am größten.
3. Wo ein Patch nicht sofort möglich ist, eine der drei von CERT-EU genannten Übergangsmaßnahmen umsetzen oder die Instanz vorübergehend vom Internet trennen.
4. Zugriffsprotokolle rückwirkend prüfen, um eine mögliche Ausnutzung vor dem Patchen auszuschließen, auch wenn aktuell keine aktive Ausnutzung bekannt ist.

Warum das mehr als eine Randnotiz ist

Jira, Confluence und Bitbucket gehören in vielen mittelständischen IT- und Softwareabteilungen zur alltäglichen Werkzeugausstattung – oft seit Jahren im Eigenbetrieb, gerade weil die Cloud-Variante aus Kosten- oder Datenschutzgründen nicht infrage kam. Genau diese selbst gehosteten Installationen sind nach den Angaben von Atlassian und CERT-EU betroffen, während Cloud-Kunden ohne eigenes Zutun bereits geschützt sind. Wer sein Patchmanagement bislang im üblichen Quartalsrhythmus behandelt, sollte bei einer mit CVSS 9,3 bewerteten und vom Hersteller selbst als kritisch eingestuften Lücke diesen Rhythmus für den konkreten Fall durchbrechen.

Falls Sie unsicher sind, welche Atlassian-Instanzen in Ihrem Unternehmen noch im Eigenbetrieb laufen oder ob Ihr Patchmanagement-Prozess solche Herstellerwarnungen zuverlässig und schnell genug erreicht: Sprechen Sie mit uns. Wir schauen uns Ihre bestehende Infrastruktur an und helfen, Prozesse aufzusetzen, die eine kritische Sicherheitswarnung nicht erst Wochen später auf dem Schreibtisch landen lassen.