Atlassian Produkte (Bamboo, Bitbucket, Confluence, Crucible, Fisheye und Jira): Schwachstelle ermöglicht Offenlegung von Informationen
WID-SEC-2026-3755 · première publication 06.10.2026 · mise à jour 08.10.2026 · CVSS 8,6
De quoi il s’agit
Bamboo ist ein Werkzeug zur kontinuierlichen Integration und Bereitstellung, das automatisierte Builds, Tests und Freigaben in einem einzigen Arbeitsablauf verbindet. Bitbucket ist ein Git-Server zur Sourcecode-Versionskontrolle. Confluence ist eine kommerzielle Wiki-Software. Crucible ist eine Code-Review-Lösung für Unternehmensteams. Fisheye ist ein Quellcode-Repository-Browser für Unternehmensteams. Jira ist eine Webanwendung zur Softwareentwicklung. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Atlassian Bamboo, Atlassian Bitbucket, Atlassian Confluence, Atlassian Crucible, Atlassian Fisheye und Atlassian Jira ausnutzen, um Informationen offenzulegen.
Dans quelles conditions ?
Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- Informationen offenzulegen
Suis-je concerné ?
Concernés selon le BSI :
- Atlassian Bamboo <10.2.24
- Atlassian Bamboo <12.1.12
- Atlassian Bitbucket <9.4.26
- Atlassian Bitbucket <10.2.8
- Atlassian Bitbucket <10.5.1
- Atlassian Confluence <9.2.26
- Atlassian Confluence <10.2.19
- Atlassian Crucible <4.9.15
- Atlassian Fisheye <4.9.15
- Atlassian Jira Service Management <5.12.40
- Atlassian Jira Service Management <10.3.26
- Atlassian Jira Service Management <11.3.12
et 3 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Atlassian Bamboo 10.2.24
- Atlassian Bamboo 12.1.12
- Atlassian Bitbucket 9.4.26
- Atlassian Bitbucket 10.2.8
- Atlassian Bitbucket 10.5.1
- Atlassian Confluence 9.2.26
- Atlassian Confluence 10.2.19
- Atlassian Crucible 4.9.15
- Atlassian Fisheye 4.9.15
- Atlassian Jira Service Management 5.12.40
- Atlassian Jira Service Management 10.3.26
- Atlassian Jira Service Management 11.3.12
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Atlassian Security Advisories vom 2026-10-05 confluence.atlassian.com
- WatchTower labs - PoC CVE-2026-21589 vom 2026-10-06 labs.watchtowr.com
- Hacker News vom 2026-10-07 thehackernews.com
CVE: CVE-2026-21589
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.