Atlassian-Patchday: Confluence, Jira und Bitbucket jetzt aktualisieren

Atlassian hat im September-Sicherheitsbulletin zahlreiche Schwachstellen in seinen selbst gehosteten Produkten geschlossen – von Confluence über Jira bis Bitbucket. Die höchstbewertete Lücke erreicht den maximalen CVSS-Wert von 10. Aktive Angriffe sind bislang nicht bekannt, dennoch sollten Betreiber die bereitstehenden Updates zeitnah einspielen.

Was ist passiert?

Im Atlassian Security Bulletin vom September 2026 bündelt der Hersteller mehrere kritisch bewertete Schwachstellen, die überwiegend aus verwundbaren Fremdbibliotheken (etwa Netty, Apache Tomcat, Bouncy Castle und Jackson) in den Produkten stecken.

Die auffälligste Lücke ist CVE-2026-45674 in Confluence Data Center mit einem CVSS-Wert von 10. Sie steckt in der Netty-Abhängigkeit und ermöglicht laut Beschreibung einen Man-in-the-Middle-Angriff, also das Mitlesen oder Manipulieren von Verbindungen. Atlassian selbst stuft das real ausnutzbare Risiko niedriger ein, weil die Schwachstelle in einer Fremdkomponente und nicht im eigenen Code liegt – die Höchstnote spiegelt den theoretischen Worst Case wider.

Ebenfalls relevant: In Bamboo wurden zwei Lücken geschlossen. CVE-2026-54513 erlaubt das Ausführen von Schadcode aus der Ferne (RCE), CVE-2026-54512 kann einen Systemabsturz auslösen. Nach Angaben des Herstellers gibt es derzeit keine Hinweise auf laufende Angriffe.

Wer ist betroffen?

Betroffen sind ausschließlich die selbst gehosteten Editionen Data Center und Server. Die Cloud-Varianten von Atlassian werden zentral vom Hersteller aktualisiert und sind hier nicht das Handlungsziel. Über die Produktpalette hinweg nennt das Bulletin unter anderem:

• Confluence Data Center
• Jira Software und Jira Service Management
• Bitbucket Data Center
• Bamboo, Crowd sowie Fisheye/Crucible

Gerade in KMU mit eigenem Wiki (Confluence), Ticketsystem (Jira) oder Git-Server (Bitbucket) im Haus laufen diese Dienste oft über Jahre auf einer festen Version – und damit genau in der Gefahrenzone, wenn Updates liegen bleiben.

Was jetzt zu tun ist

1. Bestand prüfen: Ermitteln Sie, welche Atlassian-Produkte Sie selbst hosten (Data Center/Server) und in welcher Version sie laufen. Cloud-Instanzen sind nicht betroffen.
2. Updates einspielen: Aktualisieren Sie auf die bereinigten Versionen. Für die LTS-Linien sind das u. a. Confluence 10.2.18 bzw. 9.2.25, Jira 11.3.11 bzw. 10.3.25 und Bitbucket 10.4.3. Prüfen Sie die exakte Zielversion für Ihre eigene Release-Linie im Bulletin.
3. Nach außen erreichbare Systeme zuerst: Priorisieren Sie Instanzen, die aus dem Internet erreichbar sind. Diese sind das lohnendste Ziel.
4. Zugriff einschränken: Wo möglich, Atlassian-Dienste hinter VPN legen oder den Zugriff auf bekannte Netze begrenzen, bis das Update installiert ist.
5. Nach dem Patch kontrollieren: Version verifizieren und Logs auf ungewöhnliche Zugriffe der letzten Tage sichten.

So hilft Binary System Services

Wir behalten Ihre selbst gehosteten Atlassian-Dienste im Blick: von der Inventarisierung aller Versionsstände über ein geplantes Patch-Management bis zum Monitoring nach außen erreichbarer Systeme. So landen sicherheitsrelevante Updates zeitnah und geordnet auf Ihren Servern – ohne Betriebsunterbrechung durch überstürzte Aktionen. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.