EUVD-2026-92807 / CVE-2026-21589 Kritische Atlassian-Schwachstelle mit unklarer Kennung

Anbieter zum Thema

cidaas by Widas ID GmbH

secunet Security Networks AG

FTAPI Software GmbH

Angreifer können ohne Anmeldung auf Dateien in Jira, Confluence, Bitbucket und weiteren Atlassian-Produkten zugreifen. Die CISA führt die Schwach­stelle als ausgenutzt.

Atlassian hat Anfang Oktober 2026 ein Advisory zu einer kritischen Schwachstelle in acht Produkten veröffentlicht. Betroffen sind die Data-Center-Versionen von Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo und Crowd sowie Crucible und Fisheye. Die Sicherheitslücke EUVD-2026-92807 / CVE-2026-21589 (CVSS-Score 9.3, EPSS-Score^* 12.71) beschreibt einen Arbitrary File Access, bei dem ein Angreifer ohne Anmeldung auf bestimmte Dateien im Stammverzeichnis der Webanwendung zugreifen kann. Die CISA hat sie am 15. Oktober in ihren KEV-Katalog aufgenommen.

Die Cloud-Produkte hat Atlassian bereits gepatcht. Laut Hersteller ist für Cloud-Kunden demnach keine Aktion nötig.

Betroffen sind die Versionen vor den von Atlassian genannten korrigierten Releases. Folgende Fixes stehen bereit:

• Bitbucket Data Center: Upgrade auf 9.4.26, 10.2.8 oder 10.5.1 oder höher

• Confluence Data Center: Upgrade auf 9.2.26 oder 10.2.19 oder höher

• Jira Service Management Data Center: Upgrade auf 5.12.40, 10.3.26 oder 11.3.12 oder höher

• Jira Software Data Center: Upgrade auf 9.12.40, 10.3.26 oder 11.3.12 oder höher

• Bamboo Data Center: Upgrade auf 10.2.24 oder 12.1.12 oder höher

• Crowd Data Center: Upgrade auf 6.3.7, 7.0.3, 7.1.7 oder 7.2.4 oder höher

• Crucible: Upgrade auf 4.9.15 oder höher

• Fisheye: Upgrade auf 4.9.15 oder höher

Mark of the Web umgangen

Angreifer nutzen Zero Day in der Windows Shell aus

Eingeschränkter Zugriff auf Dateien, jedoch ohne Anmeldung

Für einen erfolgreichen Zugriff müssen Angreifer den genauen Namen und Pfad der gesuchten Datei bereits kennen. Verzeichnisinhalte lassen sich laut Atlassian nicht auflisten. Je nach Konfiguration können im Stammverzeichnis der Webanwendung sensible Dateien liegen, die das Risiko erhöhen. Welche Dateien das konkret sind, nennt der Hersteller nicht.

Atlassian stuft die Schwachstelle mit einem CVSS-v4.0-Wert von 9.3 als kritisch ein. Dem zugehörigen Vektor zufolge ist ein Angriff über das Netzwerk mit geringer Komplexität möglich, ohne Benutzerkonto und ohne Mitwirkung eines Nutzers. Für die verwundbare Anwendung bewertet Atlassian den möglichen Vertraulichkeitsverlust als hoch. Der Vektor berücksichtigt darüber hinaus schwerwiegende Folgen für nachgelagerte Systeme: Dort könnten Daten offengelegt oder verändert sowie Dienste gestört werden. Welche Systeme gemeint sind und wie solche weitergehenden Folgen eintreten könnten, erläutert das Advisory nicht. Der Her­stel­ler weist darauf hin, dass Betreiber die Bewertung für ihre eigene IT-Umgebung prüfen sollen.

Bitbucket, Confluence und mehr betroffen

Remote-Code und Denial-of-Service-Angriffe bei Atlassian möglich

3 Optionen für Workarounds

Atlassian rät, auf eine korrigierte Version zu wechseln. Ist ein sofortiges Update nicht möglich, soll die Instanz nach Möglichkeit vom Internet getrennt werden, bis ein Patch oder eine temporäre Gegenmaßnahme umgesetzt ist. Das gilt auch für öffentlich erreichbare Instanzen mit Benutzeranmeldung. Als temporäre Gegenmaßnahme sollten Admins Anfragen blockieren, deren Pfad „..“ neben „/“, „\“ oder „::“ enthält, auch in URL-kodierter Form. Dafür nennt Atlassian drei Optionen:

• Regel in einer Web Application Firewall oder einem Proxy: Sie gilt für alle betroffenen Produkte. Atlassian veröffentlicht dafür einen regulären Ausdruck, also ein Suchmuster: „(?is).*(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2})(?:\.|%(?:25)*2e){2}(?:/|\\|::|%(?:25)*(?:2f|5c)|(?::|%(?:25)*3a){2}|;|%(?:25)*3b|$).*“

• Tomcat-RewriteValve: Diese Gegenmaßnahme gilt für Confluence, Jira Service Management, Jira Software, Bamboo und Crowd. Tomcat ist der Webserver, auf dem diese Produkte laufen. Admins sichern die Instanz und aktivieren den RewriteValve im Anwendungskontext der „server.xml“. Bei Crowd kann sich dieser Anwendungskontext stattdessen in der „crowd.xml“ befinden; dann wird der RewriteValve dort aktiviert. Anschließend ergänzen Admins die vorhandene „rewrite.config“ im jeweiligen „WEB-INF“-Verzeichnis oder legen die Datei neu an. Das geschieht für jeden Knoten eines Clusters, der dazu heruntergefahren und neu gestartet wird.

• Regel in der „urlrewrite.xml“: Sie gilt nur für Bitbucket. Admins sichern die Instanz und tragen in dieser Konfigurationsdatei ganz oben, vor allen anderen Regeln, eine neue Regel ein. Sie enthält dasselbe Suchmuster wie die Firewall-Regel und weist passende Anfragen mit dem Fehler 404 ab. Danach soll Bitbucket neu gestartet werden. Bei einem Cluster gilt das für alle Knoten, ebenso für alle Mirrors und Mirror-Farm-Knoten.

Neben dem Patchen oder dem Umsetzen eines Workarounds, empfiehlt der Hersteller seinen Kunden, ihre Systeme auf Anzeichen einer Kompromittierung zu untersuchen. Dazu können Admins die Zugriffsprotokolle mit dem oben genannten regulären Ausdruck nach verdächtigen Anfragen durchsuchen. Treffer allein belegen jedoch keinen erfolgreichen Dateizugriff.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

SSRF durch kritische Sicherheitslücke

Cyberkriminelle können Sonicwall-Appliance zu ihrem Proxy machen

(ID:50991738)