Kritisch93 / 100Konfidenz: Mittel

In CISA KEVCVSS10.0EPSS38 %Über Netz erreichbarOhne Anmeldung

Alle Nutzer von Atlassian Data Center Produkten sollten umgehend die bereitgestellten Patches für CVE-2026-21589 einspielen.

▸Herleitung der Bewertung(8)

Wie der Wert zustande kommt

Im CISA-KEV-Katalog: CVE-2026-21589, CVE-2026-105133, CVE-2026-105134, CVE-2026-102489, CVE-2026-102490+25
Hoechster CVSS-Basiswert 10.0+18
Wird laut Meldung tatsaechlich ausgenutzt: exploited in the wild, in the wild+12
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-21589, CVSS-Vektor AV:N/PR:N)+10
Ransomware-Vorfall — Thema: ransomware, ransom, akira | Ereignisbeleg: victim, victims+10
EPSS 38.3 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+6
Belegte ATT&CK-Technik zum Erstzugriff+6
3 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Fuer 4 erkannte CVE(s) liegt noch kein CVSS-Basiswert vor (NVD-Rueckstau).

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-19 14:14 UTCMethodik

⚡ Weekly Recap: Helpdesk 0-Days, Rogue Certs, ShinyHunters Arrest, AI-Fooling Malware and More

The Hacker News·12. Oktober 2026, 15:16

Originalartikel lesen bei The Hacker News

Angreifer haben eine kritische Sicherheitslücke in Atlassian Data Center Produkten (CVE-2026-21589) aktiv ausgenutzt, um auf sensible Dateien zuzugreifen, nur Stunden nach deren Offenlegung. Betroffen sind diverse Atlassian-Produkte wie Bitbucket und Confluence Data Center. Nutzer dieser Produkte sollten umgehend Patches einspielen, um unbefugten Zugriff zu verhindern. Zusätzlich wurde der CEO einer Ransomware-Wiederherstellungsfirma wegen Betrugs angeklagt, da er Lösegelder heimlich zahlte und überhöhte Gebühren verlangte.

SecBoard-Einordnung

Die aktive Ausnutzung der Schwachstelle ermöglicht Angreifern den Zugriff auf sensible Dateien, was zu Datenlecks und weiteren Kompromittierungen führen kann. Die Geschwindigkeit der Ausnutzung nach Offenlegung unterstreicht die Dringlichkeit.

Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer vollständigen unbefugten Zugriff auf kritische Systeme und sensible Daten erlangen, was zu erheblichen Datenverlusten, Betriebsunterbrechungen und Reputationsschäden führen kann.

Im erfassten Bestand

▸109. erfasste Meldung zu ShinyHunters innerhalb von 90 Tagen.
▸CVE-2026-21589 kommt damit in 12 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts· 12 / 56

Nach Dringlichkeit sortiert: KEV-Eintrag, dann CVSS, dann EPSS. Vollstaendige Liste im Meldungstext.

CVE-2026-105134CISA KEV

CVSS: 10.0 · CRITICAL
EPSS: 38.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-10-14
Patch: unbekannt
Zuweisende CNA: cna@vuldb.com

CVE-2026-102489CISA KEV

CVSS: 9.8 · CRITICAL
EPSS: 1.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-10-02
Patch: unbekannt
Zuweisende CNA: csirt@divd.nl

CVE-2026-102490CISA KEV

CVSS: 7.8 · HIGH
EPSS: 0.5%
Über das Netz: nein
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-10-02
Patch: unbekannt
Zuweisende CNA: csirt@divd.nl

CVE-2026-21589CISA KEV

CVSS: 7.5 · HIGH
EPSS: 12.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
im KEV seit: 2026-10-15
Patch: unbekannt
Zuweisende CNA: security@atlassian.com

CVE-2026-105133CISA KEV

CVSS: 7.3 · HIGH
EPSS: 5.8%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit: 2026-10-14
Patch: unbekannt
Zuweisende CNA: cna@vuldb.com

CVE-2026-102255

CVSS: 10.0 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: PSIRT@sonicwall.com

CVE-2026-76482

CVSS: 10.0 · CRITICAL
EPSS: 0.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-76268

CVSS: 9.8 · CRITICAL
EPSS: 1.6%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-104711

CVSS: 9.8 · CRITICAL
EPSS: 1.2%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: security@apache.org

CVE-2026-76471

CVSS: 9.8 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-76485

CVSS: 9.8 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

CVE-2026-76486

CVSS: 9.8 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: psirt@cisco.com

Betroffen

Organisationen, die Atlassian Data Center Produkte wie Bitbucket und Confluence Data Center verwenden, sind betroffen.

Hersteller

AhsayApacheAtlassianSplunkZammadZammad GmbH

Produkte

AhsayCBSMultiple ProductsZammadBambooBitbucket Data CenterBitbucket ServerCloud Backup SuiteConfluence Data CenterCrowdCrucibleJira Data CenterJira Service Desk+3 weitere

▸ CPE-Rohbezeichner anzeigen (13)

cpe:2.3:a:ahsay:cloud_backup_suite:*:*:*:*:*:*:*:*
cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:bamboo:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:bitbucket_data_center:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:bitbucket_server:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:confluence_data_center:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:crowd:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:crucible:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:jira_data_center:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:jira_service_desk:*:*:*:*:data_center:*:*:*
cpe:2.3:a:atlassian:jira_service_management:*:*:*:*:data_center:*:*:*
cpe:2.3:a:splunk:splunk:*:*:*:*:enterprise:*:*:*
cpe:2.3:a:zammad:zammad:*:*:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie, ob alle Atlassian Data Center Produkte (Bitbucket, Confluence, Jira) auf die neuesten, gepatchten Versionen aktualisiert wurden.
▸Suchen Sie in Ihren Systemprotokollen nach Anzeichen für unbefugten Zugriff oder ungewöhnliche Aktivitäten, insbesondere nach der Offenlegung von CVE-2026-21589.

▸ 1 weitere

▸Führen Sie eine Schwachstellenanalyse Ihrer Atlassian Data Center Installationen durch, um die Präsenz von CVE-2026-21589 zu bestätigen oder auszuschließen.

Offene Punkte

▸ anzeigen

▸Der genaue Umfang der betroffenen Atlassian Data Center Produkte (z.B. spezifische Versionen) ist nicht detailliert.
▸Die Identität der Angreifer oder ihre Motivation wird im Artikel nicht genannt.
▸Es gibt keine Informationen über die spezifischen Arten von 'sensiblen Dateien', auf die zugegriffen wurde.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Ja
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir Fortinet extern erreichbar?
Haben wir Cisco extern erreichbar?
Können wir Initial Access detektieren?
Können wir Execution detektieren?

Erwähnte Akteure & Werkzeuge

Bedrohungsakteure

PatchworkG0040 ShinyHuntersG1057 AkiraG1024

Malware

QilinS1242

Werkzeuge

RcloneS1040

Abgleich mit dem MITRE-ATT&CK-Katalog

MITRE ATT&CK(5)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1005Data from Local Systemzugeordnet

„um auf sensible Dateien zuzugreifen“

T1190Exploit Public-Facing Applicationzugeordnet

„Angreifer haben eine kritische Sicherheitslücke in Atlassian Data Center Produkten (CVE-2026-21589) aktiv ausgenutzt“

T1036Masqueradingabgeleitet

T1053.005Scheduled Task/Job: Scheduled Taskabgeleitet

T1566Phishingabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

›

Bewaffnung

›

Zustellung

›

Ausnutzung

›

Einnistung

›

Fernsteuerung

›

Zielhandlung

1 Techniken ohne Phasenzuordnung (z. B. Verteidigungsumgehung, die quer zu allen Phasen läuft)

Quellen & Belege· 1 Quelle

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

Vollständigen Artikel lesen bei The Hacker News

Erwähnte CVEs (12)

CVE-2026-105134CRITICAL(10.0)

KEVEPSS 38.3%

A flaw has been found in Ahsay AhsayCBS up to 10.3.2. This vulnerability affects unknown code of the file /rps/api/json/UpdateReceivers.do of the component Replication Receiver. Executing a manipulation of the argument random can lead to os command injection. It is possible to launch the attack remotely. The exploit has been published and may be used. Upgrading to version 10.3.4 is able to resolve this issue. Upgrading the affected component is advised.

Details NVD

CVE-2026-102489CRITICAL(9.8)

KEVEPSS 1.3%

Zammad versions 6.3.0 to 6.5.4 are vulnerable a session hijack vulnerability that leads to remote code execution as the zammad user. The bug is also present in version 7.0.0 to version 7.1.2, but not exploitable due to changes in the underlying framework.

Details NVD

CVE-2026-102490HIGH(7.8)

KEVEPSS 0.5%

Zammad packages built with packager.io (DEB and RPM) could have allowed a local attacker who already had file system write privileges as the unprivileged zammad service account to escalate to full root privileges on the host. Service processes began running as root and executed files that were owned and writable by the zammad account before dropping their identity to that account. An attacker holding that foothold could have escalated within seconds, because the affected services were restarted automatically whenever they stopped; no administrator interaction was required. Only installations from the DEB and RPM packages were affected — installations from source or the official container images were not. All released packaged versions were affected.

Details NVD

CVE-2026-21589HIGH(7.5)

KEVEPSS 12.7%

This is a vulnerability in Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center. Crowd Data Center, Crucible and Fisheye. This Arbitrary File Access vulnerability allows an unauthenticated attacker to access specific files within the web application root directory in affected versions. Exploitation requires prior knowledge of the target file's exact name and path; this vulnerability does not allow attackers to enumerate or list directory contents. In some configurations, there may be some sensitive files that make this highly severe. This vulnerability allows an unauthenticated remote attacker to access specific files within the web application root directory in affected versions. The vulnerability must be addressed for affected versions of: -- Bitbucket Data Center, introduced in version >= 4.6.0, fix versions: 9.4.26, 10.2.8, 10.5.1 -- Confluence Data Center, introduced in version >= 5.10.0, fix versions 9.2.26, 10.2.19 -- Crowd Data Center, introduced in version >= 2.11.0, fix versions 6.3.7, 7.0.3, 7.1.7, 7.2.4 -- Jira Software Data Center, introduced in version >= 7.1.0, fix versions 9.12.40, 10.3.26, 11.3.12 -- Jira Service Management Data Center, introduced in version >= 3.1.0, fix versions 5.12.40, 10.3.26, 11.3.12 -- Bamboo Data Center >= 7.0.1, fix versions 10.2.24, 12.1.12 -- Crucible, fix versions 4.9.15 -- Fisheye, fix version 4.9.15 -- Exploitation requires prior knowledge of the target file's exact name and path. The vulnerability does not include the capability to enumerate or list directory contents.

Details NVD

CVE-2026-105133HIGH(7.3)

KEVEPSS 5.8%

A vulnerability was detected in Ahsay AhsayCBS up to 10.3.2. This affects the function checkSysPwd of the file com/ahsay/obs/api/ApiStructsAction.java of the component API. Performing a manipulation of the argument random results in improper authentication. It is possible to initiate the attack remotely. The exploit is now public and may be used. Upgrading to version 10.3.4 is able to mitigate this issue. It is recommended to upgrade the affected component.

Details NVD

CVE-2026-102255CRITICAL(10.0)

EPSS 0.5%

A Pre-authentication SSRF vulnerability exists in the SMA1000 Appliance Work Place interface due to an unintended alternate access path. By abusing this path, a remote unauthenticated attacker could potentially exploit this vulnerability to direct the appliance to issue requests on their behalf and reach internal functionality and perform unauthorized operations.

Details NVD

CVE-2026-76482CRITICAL(10.0)

EPSS 0.2%

As part of Cisco's ongoing commitment to proactive security and product quality, the engineering team for Cisco License On-Prem, formerly Cisco Smart Software Manager On-Prem (SSM On-Prem), has conducted a comprehensive internal security review. This review resulted in software hardening releases that address multiple internally discovered vulnerabilities. The vulnerabilities tracked by CVE-2026-76482 are related to issues with improper input verification that are grouped under the Common Weakness Enumeration (CWE) Pillar CWE-347.

Details NVD

CVE-2026-76268CRITICAL(9.8)

EPSS 1.6%

In Splunk Enterprise versions below 10.4.3 and 10.2.7, an unauthenticated user with network access to the Patroni Representational State Transfer (REST) Application Programming Interface (API) on a search head cluster member could execute attacker-controlled operating-system commands. The vulnerability is possible because this interface does not require authentication for critical configuration operations. For more information see Sidecar configuration settings (https://help.splunk.com/en/data-management/splunk-enterprise-admin-manual/10.2/splunk-sidecars/sidecar-configuration-settings) in the Splunk documentation. Splunk Enterprise versions 10.0.x and 9.4.x are not affected.

Details NVD

CVE-2026-104711CRITICAL(9.8)

EPSS 1.2%

Improper neutralization of special elements used in an expression language statement ('Expression Language Injection') vulnerability in Apache Struts. If the application is configured to use the legacy RESTful action mapper, a crafted request can inject an OGNL expression that may lead to remote code execution. Struts 7 is affected only when the OGNL allowlist is disabled; it is enabled by default. Applications using the default action mapper, the restful2 mapper, or the Struts REST plugin are not affected. This issue affects Apache Struts: from 2.0.0 through 2.3.37, from 2.5.0 through 2.5.33, from 6.0.0 through 6.11.0, from 7.0.0 through 7.3.0. Users are recommended to upgrade to version 6.12.0 or 7.4.0, which fixes the issue.

Details NVD

CVE-2026-76471CRITICAL(9.8)

EPSS 0.5%

A vulnerability in the NX-API feature of Cisco NX-OS Software could allow an unauthenticated, remote attacker to execute arbitrary code with root privileges or cause a denial of service (DoS) condition on an affected device.  The vulnerability is due to insufficient input validation of data that is sent to the NX-API. An attacker could exploit this vulnerability by sending a crafted HTTP request to the NX-API of an affected device. A successful exploit could allow the attacker to execute arbitrary code with root privileges and could cause process crashes, which could result in a reload of the device and a DoS condition.

Details NVD

CVE-2026-76485CRITICAL(9.8)

EPSS 0.5%

A vulnerability in the VXLAN Operation, Administration, and Maintenance (OAM) feature of Cisco NX-OS Software, known as NGOAM, could allow an unauthenticated, remote attacker to execute arbitrary code with root privileges or cause a Denial-of-Service (DoS) on an affected device. This vulnerability is due to improper input validation of IP traffic when the NGOAM feature is enabled. An attacker could exploit this vulnerability by sending crafted packets to an IP interface on an affected device. A successful exploit could allow the attacker to execute arbitrary code with root privileges and could cause process crashes resulting in a reload and DoS condition.

Details NVD

CVE-2026-76486CRITICAL(9.8)

EPSS 0.5%

Details NVD

GitHub Advisories (1)

GHSA-w5f2-9q9c-ff4h· CVE-2026-105192

lmcache

LMCache: Remote code execution via unsafe deserialization in multiprocess mode transport