US-Behörden müssen die ausgenutzte Atlassian-Lücke bis 18. Oktober schließen – für die Cloud-Produkte ist kein Handeln nötig

Am 15. Oktober 2026 nahm die US-Cyberbehörde Cybersecurity and Infrastructure Security Agency (CISA) die Schwachstelle CVE-2026-21589 in ihren Katalog bekannt ausgenutzter Schwachstellen (Known Exploited Vulnerabilities Catalog)↗ auf. Diese Liste verpflichtet Bundesbehörden, jede dort gelistete Schwachstelle bis zu einem festgelegten Datum zu beheben ¹. Die Frist endet hier am 18. Oktober – also morgen ¹.

Eine mit 9,3 bewertete Lücke zum Auslesen von Dateien – morgen endet die Patchfrist

Atlassian▼−5.31% — Atlassian, down 5.31 percent today, Hersteller von Jira, Confluence und Bitbucket, veröffentlichte seinen Sicherheitshinweis am 5. Oktober↗: eine als kritisch eingestufte Schwachstelle, 9,3 Punkte auf der zehnstufigen CVSS-Skala, die es einem nicht authentifizierten Angreifer erlaubt, Dateien im Web-Root-Verzeichnis eines Servers auszulesen, wenn der exakte Pfad bekannt ist ². Betroffen ist jede Version unterhalb der fehlerbereinigten Releases von acht selbst gehosteten Data-Center-Produkten, darunter Bitbucket, Confluence, beide Jira-Produkte, Bamboo, Crowd, Crucible und Fisheye ².

Wie Forscher aus dem Auslesen einer Datei Administratorrechte machten

watchTowr Labs, ein auf offensive Sicherheitsforschung spezialisiertes Unternehmen, veröffentlichte seine Analyse am 6. Oktober↗ ³. Eine gemeinsam genutzte Programmbibliothek in Atlassians Web-Resource-Code wandelt Sequenzen aus doppelten Doppelpunkten in Verzeichnistrennzeichen um; so schlüpft eine ..::-Zeichenkette an den Pfadprüfungen vorbei und liest Dateien im Anwendungsserver ³. In einer Jira-Installation mit angebundenem Crowd – Atlassians Identitäts- und Single-Sign-On-Zentrale – lasen die Forscher die Datei crowd.properties, entnahmen das Klartext-Passwort der Anwendung und legten einen Benutzer in der Gruppe jira-administrators an ³.

Sechs- bis siebenstellig die Zahl exponierter Server – die ersten Treffer nach zwei Stunden

watchTowr verortete die Zahl exponierter Systeme „im sechs- bis siebenstelligen Bereich“, nachdem eine kurze Suche allein knapp 700.000 Confluence-Instanzen zutage gefördert hatte ³. Previdian, ein Anbieter von Sicherheitsmonitoring, meldete, seine Honeypots hätten 15 Angriffsversuche von drei IP-Adressen in Japan und den USA registriert↗, die zwei Stunden nach Veröffentlichung des öffentlichen Proof of Concept einsetzten ⁴⁵. watchTowrs eigenes Fazit fiel unverblümter aus: Atlassian „bestrafe den Rest von uns dafür, dass wir ihre Systeme on-prem betreiben“ ³.

Ausgenutzt wird die Sparte, die bei der Neubewertung in Vergessenheit geriet

Atlassians Sicherheitshinweis enthält den Satz, den die Bullen zitieren können: Die betroffenen Cloud-Produkte „wurden gepatcht, und unsere Untersuchung hat keine Hinweise auf eine Ausnutzung gefunden. Für Cloud-Kunden besteht kein Handlungsbedarf“ ². Im selben Monat öffnete sich Bitbucket Cloud über OAuth und Atlassians MCP-Server für KI-Assistenten↗, den Connector für das Model Context Protocol; Agenten können darin Pull Requests und Commits mit den bestehenden Berechtigungen verwalten ⁶.

Diese auf KI-Agenten ausgerichtete Cloud ist das Atlassian, das der Markt im Depot hält: rund 52 Milliarden Dollar – etwa das Achtfache des Umsatzes der vergangenen zwölf Monate↗, nach einem Kursanstieg von mehr als 200 Prozent binnen 120 Tagen ⁷.

27,6 Prozent Wachstum – und der erste operative Gewinn seit Anfang 2024

Die Zahlen des Juni-Quartals, auf denen die Neubewertung beruht, sind dokumentierte Fakten: 1,766 Milliarden Dollar Umsatz, ein Plus von 27,6 Prozent↗ und die erste positive operative Marge nach GAAP seit dem März-Quartal 2024 ⁸. Der Cloud-Umsatz stieg um 31 Prozent auf 1,21 Milliarden Dollar ⁷. Die Schwachstelle liegt woanders: in den On-Premise-Installationen bei Großunternehmen und Behörden – jener Sparte, die Atlassian seit einem Jahrzehnt unter seinem Slogan „Ascend to the Atlassian cloud“↗ in Abonnements zu überführen sucht ⁹.

Patches gibt es – und die Bullen haben Belege

Für alle acht Produkte sind korrigierte Versionen verfügbar, und watchTowr selbst merkt an, dass IP-Allowlisting in Crowd die schlimmste Angriffskette entschärft ²³. Chef Mike Cannon-Brookes hat zugesagt, Aktien im Wert von bis zu 250 Millionen Dollar zu kaufen, und Bank of America▼−0.91% — Bank of America, down 0.91 percent today hat die Aktie mit einem Kursziel von 175 Dollar auf „Kaufen“ hochgestuft: Atlassian sei „ein Nutznießer der KI, kein Opfer der KI“ ⁷. Dass Behörden oder Unternehmen dieser Schwachstelle wegen Data Center aufgeben, lässt sich bislang öffentlich nicht messen. Bis es eine Messung gibt, ist die CVE ein Kostenpunkt für Patches und ein Argument, wenn die Verträge zur Verlängerung anstehen – nicht aber eine Umsatzposition.

Der 5. November beantwortet eine andere Frage

TEAM schloss am 16. Oktober bei 207,82 Dollar, 4,3 Prozent im Minus – ein Rückgang, den diese Chronik nicht auf die CVE zurückführt ⁹. Am 5. November 2026 legt Atlassian die Zahlen für das erste Quartal des Geschäftsjahrs 2027 vor. Für das Jahr hat das Unternehmen ein Wachstum des wiederkehrenden Abo-Umsatzes (ARR) von 18 Prozent in Aussicht gestellt – gemessen an den 31 Prozent Cloud-Wachstum, welche die Neubewertung befeuert haben ⁷. Die Bundesbehörden haben bis morgen Zeit. Die Frage, die den Markt bewegt, beantwortet der 5. November: Welche der beiden Wachstumsraten erweist sich als Run-Rate?