Atlassian Data Center Sicherheitslücke: CVE-2026-21589

Atlassian hat am 5. Oktober 2026 eine kritische Schwachstelle in acht selbst gehosteten Data-Center-Produkten veröffentlicht. Die Atlassian Data Center Sicherheitslücke läuft unter der CVE-Kennung CVE-2026-21589 und wird vom Hersteller mit einem CVSS-4.0-Score von 9.3 als „Critical" eingestuft. Unauthentifizierte Angreifer können damit auf bestimmte Dateien im Web-Application-Root zugreifen.

Betroffen sind ausschließlich selbst betriebene Instanzen, nicht Atlassian Cloud. Fix-Versionen stehen laut Hersteller für alle acht Produkte bereit. Eine Ausnutzung hat Atlassian nach eigenen Angaben bislang nicht nachgewiesen.

Was die Atlassian Data Center Sicherheitslücke erlaubt

Das offizielle Advisory von Atlassian führt die Schwachstelle als „Arbitrary File Access Vulnerability". The Register zitiert den Hersteller wörtlich, die Lücke erlaube den Zugriff auf „specific files within the web application root directory" – also auf Dateien innerhalb des Web-Wurzelverzeichnisses, ohne dass eine Anmeldung nötig wäre.

Die entscheidende Einschränkung: Der Angreifer muss den exakten Dateinamen und den vollständigen Pfad bereits kennen. Das ist kein Verzeichnisdurchlauf und kein beliebiges Auslesen des Dateisystems. Für einen blinden Massenscan über das Internet ist die Lücke damit deutlich schwerer zu treffen als der CVSS-Score von 9.3 auf den ersten Blick vermuten lässt.

Praktisch relevant bleibt das Risiko trotzdem. Wer Pfade aus Fehlermeldungen, Konfigurationsdateien oder Standard-Deployments kennt, kann gezielt zugreifen. Hinzu kommt, dass Jira, Confluence und Bitbucket häufig über vorgelagerte Proxy- oder Reverse-Proxy-Strukturen erreichbar sind, in denen sich Pfadmuster erraten lassen. Welche Dateitypen konkret erreichbar sind und welche Daten daraus abfließen könnten, lässt sich aus den vorliegenden Angaben nicht ableiten.

Betroffene Produkte: Jira, Confluence, Bitbucket und weitere

Das Advisory spricht von acht betroffenen Produkten, benennt sie in den vorliegenden Auszügen aber nicht vollständig. Die deutschsprachige Aufbereitung von Ising IT-Services nennt sechs Namen: Confluence Data Center, Jira Software Data Center, Jira Service Management, Bitbucket, Bamboo und Crowd. Die vollständige Liste ist dem Hersteller-Advisory zu entnehmen.

Bemerkenswert ist die Breite: Eine einzelne CVE trifft gleich acht Produkte. In kleineren IT-Abteilungen bedeutet das, dass mehrere Werkzeuge mit unterschiedlichen Update-Zyklen gleichzeitig angefasst werden müssen – genau die Situation, in der Patch-Arbeit gerne liegen bleibt.

Atlassian Cloud ist nach Herstellerangabe nicht betroffen und bereits gepatcht. Das Atlassian Trust Center führt das Advisory unter „2026 OCTOBER" und bestätigt damit die Monatszuordnung in der offiziellen Übersicht.

Patch-Status: Fixes verfügbar, eine Unstimmigkeit bleibt

Für alle acht betroffenen Produkte sind laut Atlassian Fix-Versionen verfügbar. Die konkreten Versionsnummern führt das Advisory auf; im vorliegenden Recherchestand sind sie nicht einzeln aufgeschlüsselt. Wer die Updates plant, sollte die Angaben dort direkt abgleichen, statt sich auf Sekundärquellen zu verlassen.

Genau dazu gibt es einen Anlass: The Hacker News weist auf Unstimmigkeiten zwischen den Versionsangaben im Advisory und im offiziellen CVE-Record hin. Das ist kein Grund zur Panik, aber ein Grund, die Versionsnummer vor dem Rollout zu verifizieren.

Dieselbe Aufbereitung dokumentiert Mitigationswege pro Produkt sowie Hinweise, wie sich Logs auf verdächtige Zugriffe prüfen lassen. Das ist vor allem für Betreiber relevant, die ein Update nicht sofort einspielen können – etwa weil Plugins, angepasste Konfigurationen oder eigene Integrationen erst getestet werden müssen.

Cloud-Kunden müssen nichts tun. Atlassian hat die Cloud nach eigenen Angaben bereits gepatcht, ein Handlungsbedarf besteht dort nicht.

Vorgeschichte: Atlassian als wiederkehrendes Ziel

Atlassian-Advisories sind kein seltenes Ereignis. Im Oktober 2023 warnte das BSI vor der aktiven Ausnutzung von CVE-2023-22518 in Confluence Data Center und Server. Ein Jahr zuvor zeigte CVE-2022-43781 in Bitbucket Server und Data Center, wie schnell aus einer Lücke in einem Self-Hosting-Produkt ein akutes Problem wird. The Hacker News verweist als Präzedenzfall zusätzlich auf CVE-2021-26086.

Diese Vorfälle haben nichts mit CVE-2026-21589 zu tun und belegen keine Ausnutzung der aktuellen Schwachstelle. Sie zeigen aber das Muster: Atlassian-Produkte sind ein wiederkehrendes Ziel, weil sie tief in Entwicklungs- und Betriebsprozesse eingebunden sind. Wer dort zugreift, landet oft mitten in der internen Infrastruktur.

Ein zweiter Faktor kommt hinzu. Laut Atlassian endet der Support für Data Center am 28. März 2029. Wer sein Self-Hosting so lange betreibt, muss bis dahin mit weiterer Patch-Arbeit rechnen – und mit der Frage, wie lange sich eine eigene Instanz gegenüber der Cloud noch rechtfertigt.

Fazit: Prüfen, patchen, Logs kontrollieren

Die Einordnung fällt zweigeteilt aus. Der Score von 9.3 und die Einstufung als kritisch begründen Tempo. Die Einschränkung auf bereits bekannte Dateinamen und Pfade dämpft dagegen den Alarmismus, den eine solche Kennzahl sonst auslöst.

Konkret heißt das: Betreiber sollten in den nächsten Tagen prüfen, ob ihre Instanz betroffen ist, das Advisory lesen und die Updates einspielen. Wer nicht sofort patchen kann, sollte die dokumentierten Mitigationen umsetzen und die Zugriffslogs auf ungewöhnliche Anfragen an das Web-Root kontrollieren.

Ein Restrisiko bleibt, solange ein unauthentifizierter Zugriff auf Dateien überhaupt möglich ist. Der Patch ist die einzige Maßnahme, die es vollständig schließt.

Quellen