---
adresse: "https://qvestcon.com/dora-update-markus-junge/informationsverbund-versicherung_bcbfa645/"
titel: "Atlassian: Kritische Lücke in acht…"
beschreibung: "Atlassian hat Anfang Oktober 2026 ein Advisory zur Schwachstelle CVE-2026-21589 (CVSS-Wert 9.3) veröffentlicht.…"
sprache: "de-DE"
stand: "2026-10-27"
---

Qvestcon News

# Atlassian: Kritische Lücke in acht Data-Center-Produkten

Atlassian hat Anfang Oktober 2026 ein Advisory zur Schwachstelle CVE-2026-21589 (CVSS-Wert 9.3) ver­öf­fent­licht. Betroffen sind die Data-Center-Versionen von Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo und Crowd sowie Crucible und Fisheye. Angreifer können ohne Anmeldung auf bestimmte Dateien im Stamm­ver­zeich­nis der Webanwendung zugreifen, müssen dafür aber Namen und Pfad der Datei kennen. Die US-Behörde CISA hat die Lücke am 15. Oktober in ihren Katalog ausgenutzter Schwach­stel­len (KEV) aufgenommen. Cloud-Produkte hat Atlassian bereits gepatcht. Wer Jira oder Confluence selbst betreibt, geht in dieser Reihenfolge vor: Erstens alle betroffenen Instanzen inven­ta­ri­sie­ren. Zweitens auf eine korrigierte Version wechseln, zum Beispiel Confluence Data Center 9.2.26 oder 10.2.19. Drittens, falls ein sofortiges Update nicht möglich ist, die Instanz vom Internet trennen oder Anfragen mit „..“ neben „/“, „\“ oder „::“ per Firewall-Regel blockieren. Viertens die Zugriffs­pro­to­kolle nach verdächtigen Anfragen durchsuchen. Ein Treffer allein belegt keinen erfolgreichen Dateizugriff. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank scheitert die schnelle Umsetzung selten am Patch, sondern an einem unvoll­stän­di­gen Inventar der Entwicklungs- und Wis­sens­platt­for­men.

[KRITIS](https://qvestcon.com/news/kritis/)27.10.2026

Atlassian hat Anfang Oktober 2026 ein Advisory zur Schwachstelle CVE-2026-21589 (CVSS-Wert 9.3) ver­öf­fent­licht. Betroffen sind die Data-Center-Versionen von Bitbucket, Confluence, Jira Service Management, Jira Software, Bamboo und Crowd sowie Crucible und Fisheye. Angreifer können ohne Anmeldung auf bestimmte Dateien im Stamm­ver­zeich­nis der Webanwendung zugreifen, müssen dafür aber Namen und Pfad der Datei kennen. Die US-Behörde CISA hat die Lücke am 15. Oktober in ihren Katalog ausgenutzter Schwach­stel­len (KEV) aufgenommen. Cloud-Produkte hat Atlassian bereits gepatcht. Wer Jira oder Confluence selbst betreibt, geht in dieser Reihenfolge vor: Erstens alle betroffenen Instanzen inven­ta­ri­sie­ren. Zweitens auf eine korrigierte Version wechseln, zum Beispiel Confluence Data Center 9.2.26 oder 10.2.19. Drittens, falls ein sofortiges Update nicht möglich ist, die Instanz vom Internet trennen oder Anfragen mit „..“ neben „/“, „\“ oder „::“ per Firewall-Regel blockieren. Viertens die Zugriffs­pro­to­kolle nach verdächtigen Anfragen durchsuchen. Ein Treffer allein belegt keinen erfolgreichen Dateizugriff. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank scheitert die schnelle Umsetzung selten am Patch, sondern an einem unvoll­stän­di­gen Inventar der Entwicklungs- und Wis­sens­platt­for­men.

- [#Banken](https://qvestcon.com/stichwoerter/b/#banken)
- [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer)
- [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister)
- [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/m-p/#pruefungsplanung)
- [#Qvestcon](https://qvestcon.com/stichwoerter/q-s/#qvestcon)
- [#MarkusJunge](https://qvestcon.com/stichwoerter/m-p/#markusjunge)
- [#Schwach­stel­len­ma­nage­ment](https://qvestcon.com/stichwoerter/q-s/#schwachstellenmanagement)
- [#ITSicherheit](https://qvestcon.com/stichwoerter/i-j/#itsicherheit)

[Ori­gi­nal­quelle: Security-Insider →](https://www.security-insider.de/atlassian-kritische-schwachstelle-datei-zugriff-ohne-login-a-a941faa4105ef969fc69117785defed8/?cmp=nl-1ee4fad4-1104-402c-b7af-718b657df63f&uuid=A3B680B6-862E-4C0F-9B9B-F6448A5D7486)

Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall.

[Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20Atlassian%3A%20Kritische%20L%C3%BCcke%20in%20acht%20Data-Center-Produkten#erstgespraech)

[Weitere Meldungen in KRITIS](https://qvestcon.com/news/kritis/) · [alle Qvestcon-News](https://qvestcon.com/news/)