Nicht authentifizierter Zugriff auf beliebige Dateien in Atlassian Data Center-Produkten wird ausgenutzt (CVE-2026-21589)

Was passiert ist

CVE-2026-21589 ist eine Schwachstelle für den Zugriff auf beliebige Dateien im Stammverzeichnis der Webanwendung mehrerer Atlassian Data Center-Produkte. Ein nicht authentifizierter entfernter Angreifer kann eine bestimmte Datei lesen, muss jedoch deren exakten Namen und Pfad bereits kennen; die Schwachstelle ermöglicht keine Verzeichnisauflistung oder Enumeration. Die Bewertung nach CVSS 4.0 stuft sie mit 9,3 als kritisch ein: über das Netzwerk erreichbar, geringe Angriffskomplexität, keine Berechtigungen und keine Benutzerinteraktion, mit hohen Auswirkungen auf die Vertraulichkeit des betroffenen Systems und hohen Auswirkungen auf nachgelagerte Systeme. In Konfigurationen, in denen sensible Dateien im Stammverzeichnis der Webanwendung liegen, kann dies besonders schwerwiegend sein.

CISA hat die Schwachstelle am 15. Oktober 2026 in den KEV-Katalog aufgenommen und führt sie als ausgenutzt. CISA SSVC verzeichnet den Ausnutzungsstatus als aktiv, und ENISA EUVD verzeichnet eine Ausnutzung seit dem 15. Oktober 2026. Der CVE-Datensatz beschreibt keine konkrete Ausnutzungskampagne.

Wer betroffen ist

Betroffen sind die Data-Center-Installationen von Bitbucket, Confluence, Crowd, Jira Software, Jira Service Management, Bamboo, Crucible und Fisheye. Dabei handelt es sich um selbstverwaltete Systeme für Zusammenarbeit, Code-Hosting, CI/CD, Identitäts- und Service-Management, die häufig in Unternehmensumgebungen betrieben und mitunter aus dem Internet erreichbar sind.

Der CVE-Datensatz führt die betroffenen Versionen als alle anderen Versionen auf; als Einführungspunkte werden genannt: Bitbucket Data Center ab 4.6.0; Confluence Data Center ab 5.10.0; Crowd Data Center ab 2.11.0; Jira Software Data Center ab 7.1.0; Jira Service Management Data Center ab 3.1.0; Bamboo Data Center ab 7.0.1. Crucible und Fisheye werden ohne Einführungsbereiche genannt.

Was jetzt zu tun ist

Im CVE-Datensatz ist für CVE-2026-21589 kein Patch als verfügbar aufgeführt. Warten Sie daher nicht auf eine korrigierte Version, bevor Sie handeln. Die im CISA-KEV-Katalog genannte Frist endet am 18. Oktober 2026.

1. Identifizieren Sie jede betroffene Data-Center-Instanz, einschließlich Test-, Staging- und Disaster-Recovery-Instanzen, und halten Sie fest, ob sie aus dem Internet erreichbar ist.
2. Entfernen Sie betroffene Instanzen, wo möglich, aus der direkten Erreichbarkeit aus dem Internet, oder stellen Sie sie hinter ein VPN oder einen identitätsbewussten Proxy mit strengen Netzwerkkontrollen.
3. Befolgen Sie die im CISA-KEV-Katalog geforderte Maßnahme: Wenden Sie die Anweisungen des Herstellers an, sobald sie veröffentlicht werden, befolgen Sie die Priorisierung und die forensischen Triage-Hinweise gemäß BOD 26-04 und stellen Sie die Nutzung ein, wenn keine Schutzmaßnahmen verfügbar sind.
4. Überwachen Sie das System auf Hinweise auf unbefugte Dateizugriffe, bis ein Patch oder eine Problemumgehung des Herstellers verfügbar ist.

Wie man es erkennt

Der CVE-Datensatz enthält keine Indikatoren für eine Kompromittierung. Da die Ausnutzung voraussetzt, dass der Angreifer einen bekannten Dateipfad anfordert, prüfen Sie die Zugriffsprotokolle des Webservers auf nicht authentifizierte Anfragen an Dateien im Stammverzeichnis der Webanwendung, die nicht zu normalen Seiten- oder statischen Asset-Aufrufen gehören, insbesondere aus unerwarteten Quellen. Wenn Data-Center-Instanzen hinter SSO betrieben werden, untersuchen Sie jeden Dateiabruf, der nicht die normale Authentifizierung durchlaufen hat.

Über den Patch hinaus

Dies ist eine Offenlegung von Daten ohne Authentifizierung auf Systemen, die häufig hochwertige Geschäftsdaten enthalten; CISA, CISA SSVC und ENISA EUVD verzeichnen bereits eine Ausnutzung. Managed Detection and Response (MDR) kann auf nachfolgende Kompromittierungsaktivitäten achten, und ein Incident Response Retainer verkürzt die Untersuchungszeit, wenn Hinweise gefunden werden. Da die Schwachstelle weder Zugangsdaten noch eine Benutzerinteraktion erfordert, kann Virtual CISO Services dabei unterstützen, neu zu bewerten, welche Data-Center-Instanzen überhaupt aus dem Internet erreichbar sein sollten.