CVE-2026-21589: Mehrere Atlassian-Data-Center-Produkte werden aktiv ausgenutzt

CVE-2026-21589 (CVSS 9,3, EPSS ≥ 78. Perzentil) ist eine Schwachstelle mit kritischem Schweregrad für beliebigen Dateizugriff [CWE-552], die Atlassian Jira Service Management Data Center, Jira Software Data Center, Confluence Data Center, Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible und Fisheye betrifft. Alle ungepatchten Versionen der betroffenen Produkte sind anfällig. Die Dateizugriffsschwachstelle lässt sich unter bestimmten Bedingungen, wenn Crowd SSO verwendet wird, zusätzlich für die Übernahme von Admin-Konten ausnutzen. CVE-2026-21589 gilt als aktiv ausgenutzt [1][2][3][4], wurde aber Stand 13. Oktober 2026 noch nicht in die KEV-Liste der CISA aufgenommen.

Eine detaillierte technische Analyse der gesamten Angriffskette, einschließlich der Übernahme von Jira-Admin-Konten, steht zur Verfügung. Exploits als Proof of Concept (PoC) für das unautorisierte Lesen von Dateien [5][6][7][8] und für die vollständige Angriffskette zur Kontoübernahme [9] sind ebenfalls öffentlich verfügbar. Mehrere nationale CERT-Stellen haben Warnungen zu dieser Schwachstelle herausgegeben [10][11][12][13][14][15][16][17][18][19][20].

Risikobewertung zu CVE-2026-21589 in Atlassian-Data-Center-Produkten

Atlassian-Data-Center-Produkte sind selbst gehostete Unternehmensplattformen für Projektverfolgung, Dokumentation, Build-Automatisierung, Identitätsverwaltung, Code-Review und mehr. Damit stellt CVE-2026-21589 ein hohes Risiko für eine Vielzahl geschäftskritischer Abläufe dar. Außerdem wurden Atlassian-Produkte in der Vergangenheit immer wieder von Ransomware-Gruppen und APT-Gruppen (Advanced Persistent Threat) ausgenutzt. Atlassian-Produkte sind 13-mal in der KEV-Liste der CISA aufgeführt; 8 dieser Einträge sind für Ransomware-Aktivitäten gekennzeichnet.

CVE-2026-21589 ermöglicht nicht authentifizierten Angreifenden den Zugriff auf Dateien im Stammverzeichnis der Webanwendung, und wenn Crowd SSO verwendet wird, können sie unter Umständen außerdem Konten anlegen und administrative Rechte zuweisen. Die vollständige Angriffskette kann zu unbefugtem Admin-Zugriff führen. Der Status als aktiv ausgenutzte Schwachstelle sowie die Verfügbarkeit detaillierter technischer Informationen und PoC-Exploits erhöhen das Risiko zusätzlich.

Technische Details zu CVE-2026-21589 in Atlassian-Data-Center-Produkten

CVSS 9,3 · KritischEPSS 1,8 % (78.)Aktiv ausgenutztÖffentlicher PoC

CVE-2026-21589 (CVSS 9,3, EPSS ≥ 78. Perzentil) ermöglicht nicht authentifizierten Angreifenden den Zugriff auf Dateien [CWE-552] im Stammverzeichnis der Webanwendung, sofern der genaue Dateiname und Pfad bereits bekannt sind. Für einen Angriff muss der exakte Name und Pfad der Zieldatei vorab bekannt sein. CVE-2026-21589 erlaubt es Angreifenden nicht, Verzeichnisinhalte aufzuzählen oder aufzulisten. Wird Crowd SSO verwendet und verfügt es über ausreichende Berechtigungen, um Benutzer anzulegen und Gruppenmitgliedschaften zu ändern, können Angreifende Konten anlegen und Admin-Konten übernehmen.

Die Schwachstelle hat ihren Ursprung im gemeinsam genutzten Atlassian Web Resource Plugin, genauer in der Verarbeitung von Ressourcenpfaden in der Bibliothek atlassian-plugins-webresource. Die Funktion Router.unescapeSlashes() wandelt Doppelpunkt-Sequenzen (::) in Schrägstriche (/) um und ermöglicht es Angreifenden so, Directory-Traversal-Payloads zu konstruieren, die Pfadbeschränkungen umgehen. Durch manipulierte HTTP-Anfragen an Web-Resource-Endpunkte können nicht authentifizierte Angreifende die Ressourcenauslieferung ausnutzen, um sonst unzugängliche Dateien im Webroot-Verzeichnisbaum der Anwendung zu lesen. Dazu zählen sensible Konfigurationsdateien im Verzeichnis WEB-INF.

Jira-Installationen, die mit Atlassian Crowd integriert sind, können die Konfigurationsdatei WEB-INF/classes/crowd.properties offenlegen, die den Crowd-Anwendungsnamen, das Anwendungspasswort im Klartext und die URL des Crowd-Servers enthält. Wenn Angreifende diese Zugangsdaten erlangen und Zugriff auf den Crowd-Server haben, können sie sich an dessen REST-API authentifizieren, bestehende Benutzer auflisten, neue Konten anlegen und Gruppenmitgliedschaften ändern.

Sicherheitsforschende von watchTowr Labs haben einen neuen Crowd-Benutzer angelegt und ihn der Gruppe jira-administrators hinzugefügt, wodurch sie Admin-Rechte in Jira erlangten. Dieses Angriffsszenario setzt Crowd-Integration, offengelegte Zugangsdaten und Netzwerkzugriff auf den Crowd-Dienst voraus. Sehr restriktive IP-Allowlists in Crowd können die Ausnutzbarkeit einschränken.

Betroffene Produkte und Gegenmaßnahmen für CVE-2026-21589 in Atlassian-Data-Center-Produkten

CVE-2026-21589 betrifft Jira Service Management Data Center, Jira Software Data Center, Confluence Data Center, Bitbucket Data Center, Bamboo Data Center, Crowd Data Center, Crucible und Fisheye. Alle Versionen vor den behobenen Versionen sind betroffen. Betroffene Instanzen in der eigenen IT-Umgebung sollten umgehend aktualisiert werden, vorrangig solche, die aus dem Internet erreichbar sind.

Atlassian stellt Regeln für Web Application Firewalls (WAF) bereit, um die Schwachstelle in allen betroffenen Produkten abzumildern, dazu Tomcat-RewriteValve-Regeln für Confluence, Jira Service Management, Jira Software, Bamboo und Crowd. Für Bitbucket stellt Atlassian eine Regel bereit, die in urlrewrite.xml ergänzt werden kann. Die vom Hersteller bereitgestellten Workarounds sind nur temporäre Gegenmaßnahmen.

Die behobenen Versionen sind nachfolgend aufgeführt:

Produkt	Behobene Versionen
Jira Service Management Data Center	5.12.40 10.3.26 11.3.12
Jira Software Data Center	9.12.40 10.3.26 11.3.12
Confluence Data Center	9.2.26 10.2.19
Bitbucket Data Center	9.4.26 10.2.8 10.5.1
Bamboo Data Center	10.2.24 12.1.12
Crowd Data Center	6.3.7 7.0.3 7.1.7 7.2.4
Crucible	4.9.15
Fisheye	4.9.15

Zusammenfassung

CVE-2026-21589 ist eine aktiv ausgenutzte Schwachstelle mit kritischem Schweregrad, die nicht authentifizierten Angreifenden das Lesen beliebiger Dateien erlaubt und alle ungepatchten Versionen mehrerer Atlassian-Data-Center-Produkte betrifft. Sie ermöglicht den Zugriff auf bestimmte Dateien im Stammverzeichnis der Webanwendung, wenn Angreifende den genauen Dateipfad und -namen bereits kennen. Außerdem können Angreifende CVE-2026-21589 nutzen, um Admin-Rechte zu erlangen, wenn Crowd SSO verwendet wird. Der Zugriff auf aus dem Internet erreichbare Instanzen sollte umgehend eingeschränkt und auf eine gepatchte Version aktualisiert werden.