Kritisch77 / 100Konfidenz: Mittel

In CISA KEVCVSS9.8EPSS13 %Über Netz erreichbarOhne Anmeldung

Alle betroffenen Atlassian Data Center und Server Produkte umgehend auf die neuesten verfügbaren Versionen aktualisieren.

▸Herleitung der Bewertung(6)

Wie der Wert zustande kommt

Im CISA-KEV-Katalog: CVE-2026-21589+25
Hoechster CVSS-Basiswert 9.8+18
Wird laut Meldung tatsaechlich ausgenutzt: exploited in attacks, being exploited+12
Hinweis auf verfuegbaren Angriffscode: poc+10
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-65637, CVSS-Vektor AV:N/PR:N)+10
EPSS 12.7 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+2

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-10-23 07:54 UTCMethodik

Atlassian Patches 75 Flaws in Data Center and Server Products

SecurityWeek·23. Oktober 2026, 07:54

Originalartikel lesen bei SecurityWeek

Atlassian hat 75 Sicherheitslücken in seinen Data Center und Server Produkten behoben, darunter sechs kritische Schwachstellen in Drittanbieter-Komponenten wie Apache Tomcat und Bouncy Castle. Betroffen sind Produkte wie Confluence, Jira Software und Crowd. Atlassian empfiehlt dringend, die Produkte auf die neuesten Versionen zu aktualisieren, um Ausnutzung durch Angreifer zu verhindern.

SecBoard-Einordnung

Die kritischen Schwachstellen in Drittanbieter-Komponenten könnten zu Denial-of-Service, Code-Ausführung oder Offenlegung von Informationen führen, was den Betrieb und die Datensicherheit erheblich gefährden kann.

Realistisch schlimmster Fall: Ein Angreifer könnte kritische Atlassian-Produkte kompromittieren, was zu vollständigem Datenverlust, unautorisierter Code-Ausführung auf Servern oder einem kompletten Ausfall wichtiger Geschäftsanwendungen führen könnte.

Im erfassten Bestand

▸CVE-2026-21589 kommt damit in 16 erfassten Meldungen der letzten 90 Tage vor.
▸CVE-2026-21589 stand zum Zeitpunkt dieser Meldung seit 8 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

CVE-2026-21589CISA KEV

CVSS: 7.5 · HIGH
EPSS: 12.7%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit
im KEV seit: 2026-10-15
Patch: unbekannt
Zuweisende CNA: security@atlassian.com

CVE-2026-65637

CVSS: 9.8 · CRITICAL
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: unbekannt
Zuweisende CNA: security@apache.org

CVE-2026-65905

CVSS: 9.8 · CRITICAL
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 11.0.25
Zuweisende CNA: security@apache.org

CVE-2026-65182

CVSS: 9.1 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 11.0.25
Zuweisende CNA: security@apache.org

CVE-2026-77185

CVSS: 9.1 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt
Zuweisende CNA: security@apache.org

CVE-2026-68525

CVSS: 9.1 · CRITICAL
EPSS: 0.5%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 11.0.25
Zuweisende CNA: security@apache.org

CVE-2026-58062

CVSS: 9.1 · CRITICAL
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: unbekannt

CVE-2026-75595

CVSS: 9.1 · CRITICAL
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 4.2.17.Final
Zuweisende CNA: security-advisories@github.com

Betroffen

Organisationen, die Atlassian Data Center und Server Produkte wie Confluence, Jira Software und Crowd verwenden.

Hersteller

ApacheAtlassianBouncycastleNetty

Produkte

Multiple ProductsBambooBC JavaBitbucket Data CenterBitbucket ServerBouncy Castle For Java LTSConfluence Data CenterCrowdCrucibleFips Java ApiJira Data CenterJira Service Desk+3 weitere

▸ CPE-Rohbezeichner anzeigen (14)

cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:bamboo:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:bitbucket_data_center:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:bitbucket_server:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:confluence_data_center:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:crowd:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:crucible:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:jira_data_center:*:*:*:*:*:*:*:*
cpe:2.3:a:atlassian:jira_service_desk:*:*:*:*:data_center:*:*:*
cpe:2.3:a:atlassian:jira_service_management:*:*:*:*:data_center:*:*:*
cpe:2.3:a:bouncycastle:bc-java:*:*:*:*:*:*:*:*
cpe:2.3:a:bouncycastle:bouncy_castle_for_java_lts:*:*:*:*:*:*:*:*
cpe:2.3:a:bouncycastle:fips_java_api:*:*:*:*:*:*:*:*
cpe:2.3:a:netty:netty:*:*:*:*:*:*:*:*

Prüfen

▸Überprüfen Sie die Versionen aller eingesetzten Atlassian Data Center und Server Produkte (Confluence, Jira Software, Crowd) und stellen Sie sicher, dass diese auf dem neuesten Stand sind.
▸Scannen Sie Ihre Atlassian-Installationen auf bekannte Schwachstellen in Drittanbieter-Komponenten wie Apache Tomcat und Bouncy Castle.

▸ 1 weitere

▸Überwachen Sie Systemprotokolle und Netzwerkverkehr auf ungewöhnliche Aktivitäten, die auf eine Ausnutzung der Schwachstellen hindeuten könnten.

Offene Punkte

▸ anzeigen

▸Spezifische CVE-IDs der 75 behobenen Schwachstellen sind nicht angegeben.
▸Die genauen Versionen der betroffenen Atlassian-Produkte, die aktualisiert werden müssen, sind nicht detailliert.
▸Es ist nicht spezifiziert, ob die Schwachstellen bereits aktiv ausgenutzt werden.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Sind wir hiervon betroffen — und können wir es detektieren?

MITRE ATT&CK(4)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Diese Schwachstellen... könnten zu... Code-Ausführung... führen.“

T1190Exploit Public-Facing Applicationzugeordnet

„Atlassian hat 75 Sicherheitslücken in seinen Data Center und Server Produkten behoben, darunter sechs kritische Schwachstellen... um Ausnutzung durch Angreifer zu verhindern.“

T1499Denial of Servicezugeordnet

„Diese Schwachstellen... könnten zu Denial-of-Service... führen.“

T1530Data from Cloud Storagezugeordnet

„Diese Schwachstellen... könnten zu... Offenlegung von Informationen führen.“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

SecurityWeekKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

Atlassian Patches 75 Flaws in Data Center and Server Products

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-21589 CVE-2026-65637 CVE-2026-65905 CVE-2026-65182 CVE-2026-77185 CVE-2026-68525 CVE-2026-58062 CVE-2026-75595

Themen

VulnerabilitiesAtlassianPatchvulnerability

Vollständigen Artikel lesen bei SecurityWeek

Erwähnte CVEs (8)

CVE-2026-21589HIGH(7.5)

KEVEPSS 12.7%

This is a vulnerability in Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center. Crowd Data Center, Crucible and Fisheye. This Arbitrary File Access vulnerability allows an unauthenticated attacker to access specific files within the web application root directory in affected versions. Exploitation requires prior knowledge of the target file's exact name and path; this vulnerability does not allow attackers to enumerate or list directory contents. In some configurations, there may be some sensitive files that make this highly severe. This vulnerability allows an unauthenticated remote attacker to access specific files within the web application root directory in affected versions. The vulnerability must be addressed for affected versions of: -- Bitbucket Data Center, introduced in version >= 4.6.0, fix versions: 9.4.26, 10.2.8, 10.5.1 -- Confluence Data Center, introduced in version >= 5.10.0, fix versions 9.2.26, 10.2.19 -- Crowd Data Center, introduced in version >= 2.11.0, fix versions 6.3.7, 7.0.3, 7.1.7, 7.2.4 -- Jira Software Data Center, introduced in version >= 7.1.0, fix versions 9.12.40, 10.3.26, 11.3.12 -- Jira Service Management Data Center, introduced in version >= 3.1.0, fix versions 5.12.40, 10.3.26, 11.3.12 -- Bamboo Data Center >= 7.0.1, fix versions 10.2.24, 12.1.12 -- Crucible, fix versions 4.9.15 -- Fisheye, fix version 4.9.15 -- Exploitation requires prior knowledge of the target file's exact name and path. The vulnerability does not include the capability to enumerate or list directory contents.

Details NVD

CVE-2026-65637CRITICAL(9.8)

EPSS 0.6%

Improper Input Validation vulnerability in Apache Tomcat due to incomplete fix for CVE-2026-32990. This issue affects Apache Tomcat: from 11.0.20 through 11.0.24, from 10.1.53 through 10.1.57, from 9.0.115 through 9.0.120. Users are recommended to upgrade to version 11.0.25, 10.1.58 or 9.0.121, which fix the issue.

Details NVD

CVE-2026-65905CRITICAL(9.8)

EPSS 0.6%

Authentication Bypass by Capture-replay vulnerability in Apache Tomcat's DIGEST authenticator. If, before windowSize requests have been made, a client makes a DIGEST authenticated request with a nonceCount on the upper boundary of the replay window then that request is replayable once only while the associated nonceCount remains within the replay window. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.24, from 10.1.0-M1 through 10.1.57, from 9.0.0.M1 through 9.0.120. The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.30 through 7.0.109. Other unsupported versions may also be affected. Users are recommended to upgrade to version 11.0.25, 10.1.58 or 9.0.121, which fix the issue.

Details NVD

CVE-2026-65182CRITICAL(9.1)

EPSS 0.5%

Improper Access Control, Incorrect Authorization vulnerability in Apache Tomcat leads to security constraint bypass if a constraint for a longer path is specified before a more restrictive constraint for a shorter sub-path. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.24, from 10.1.0-M1 through 10.1.57, from 9.0.0.M1 through 9.0.120, from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Users are recommended to upgrade to version 11.0.25, 10.1.58, 9.0.121, which fixes the issue.

Details NVD

CVE-2026-77185CRITICAL(9.1)

EPSS 0.5%

Authentication bypass in sshd-core in Apache MINA SSHD versions 2.0.0 to 2.19.0 and 3.0.0-M1 to 3.0.0-M5 for a certain (presumed rare) way to implement an SSH server. Apache MINA SSHD is a Java library for client- and server-side SSH. In the server part of the library, a mechanism to perform "asynchronous authentication" exists. A server implemented with Apache MINA SSHD must contain explicit code to make use of this feature. The implementation of this feature was flawed and could potentially lead to skipping checking the signature in public-key or hostbased authentication, or returning a wrong result. Users are recommended to upgrade to Apache MINA SSHD 2.20.0 or 3.0.0-M6, which fix the logic error and which additionally forbid the use of this "asynchronous authentication" mechanism with the public-key or hostbased authentication schemes: if used, the SSH session will be closed and the server will log an entry indicating that asynchronous authentication may be used only with password or keyboard-interactive authentication.

Details NVD

CVE-2026-68525CRITICAL(9.1)

EPSS 0.5%

Incorrect Authorization vulnerability in Apache Tomcat's FORM authentication process allows the bypassing of a security constraint that limits user has access to a resource POST but not GET. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.24, from 10.1.0-M1 through 10.1.57, from 9.0.0.M1 through 9.0.120. The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be affected. Users are recommended to upgrade to version 11.0.25, 10.1.58 or 9.0.121, which fixes the issue.

Details NVD

CVE-2026-58062CRITICAL(9.1)

EPSS 0.4%

In Bouncy Castle for Java before 1.85, Stapled OCSP response accepted without binding to the checked certificate. This issue also affects Bouncy Castle for Java LTS before 2.73.12, and Bouncy Castle for Java FIPS (BC-FJA) before bc-fips 2.0.2 (2.0.X series) and 2.1.3 (2.1.X series).

Details NVD

CVE-2026-75595CRITICAL(9.1)

EPSS 0.3%

Netty is an asynchronous, event-driven network application framework. Prior to 4.1.137.Fina and 4.2.17.Final, io.netty.handler.ssl.SslClientHelloHandler#decode checks the wrong offset before reading the four-byte TLS handshake header, so a ClientHello whose handshake header spans records can cause an IndexOutOfBoundsException and invoke select(ctx, null). This selects the default SslContext instead of the SNI-specific context. In deployments where per-SNI clientAuth=REQUIRE is the sole mutual TLS gate, the default SslContext uses clientAuth=NONE or clientAuth=OPTIONAL, and no application-layer certificate verification exists, an unauthenticated remote attacker can bypass the protected route's mutual TLS requirement. This issue is fixed in versions 4.1.137.Final and 4.2.17.Final.

Details NVD

GitHub Advisories (4)

GHSA-gcx9-497g-6cp6· CVE-2026-65182

org.apache.tomcat:tomcat

Apache Tomcat has an Improper Access Control, Incorrect Authorization vulnerability

GHSA-9xv2-5v5q-p794· CVE-2026-65905

org.apache.tomcat:tomcat

Apache Tomcat's DIGEST authenticator has an Authentication Bypass by Capture-replay vulnerability

GHSA-h3x4-894j-xpx5· CVE-2026-68525

org.apache.tomcat:tomcat

Apache Tomcat's FORM authentication process has an Incorrect Authorization vulnerability

GHSA-c4c3-7fpv-j4q5· CVE-2026-75595

io.netty:netty-handler

Netty: SNI Routing Bypass via Fragmented TLS ClientHello Causing Fallback to Default SslContext