--- title: "US-Behörden müssen die ausgenutzte Atlassian-Lücke bis 18. Oktober schließen – für die Cloud-Produkte ist kein Handeln nötig" description: "Bundesbehörden müssen CVE-2026-21589 bis zum 18. Oktober patchen. Die Lücke steckt nur in Atlassians selbst gehosteten Produkten – jener Sparte, die der Konzern seit einem Jahrzehnt in die Cloud überführen will. Das andere ist das Atlassian nach der Neubewertung: 52 Milliarden Dollar schwer." publisher: "The Inference" section: "Safety" published: 2026-10-17T17:05:38.296Z modified: 2026-10-17T17:05:38.296Z canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/de language: de keywords: "Atlassian, Cybersecurity, Vulnerabilities, Cloud Computing, CISA" --- # US-Behörden müssen die ausgenutzte Atlassian-Lücke bis 18. Oktober schließen – für die Cloud-Produkte ist kein Handeln nötig > Bundesbehörden müssen CVE-2026-21589 bis zum 18. Oktober patchen. Die Lücke steckt nur in Atlassians selbst gehosteten Produkten – jener Sparte, die der Konzern seit einem Jahrzehnt in die Cloud überführen will. Das andere ist das Atlassian nach der Neubewertung: 52 Milliarden Dollar schwer. Am 15. Oktober 2026 nahm die US-Cyberbehörde Cybersecurity and Infrastructure Security Agency (CISA) die Schwachstelle CVE-2026-21589 in ihren [Katalog bekannt ausgenutzter Schwachstellen (Known Exploited Vulnerabilities Catalog)](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589) auf. Diese Liste verpflichtet Bundesbehörden, jede dort gelistete Schwachstelle bis zu einem festgelegten Datum zu beheben [1]. Die Frist endet hier am 18. Oktober – also morgen [1]. ## Eine mit 9,3 bewertete Lücke zum Auslesen von Dateien – morgen endet die Patchfrist [Atlassian](https://theinference.org/markets/companies/atlassian), Hersteller von Jira, Confluence und Bitbucket, [veröffentlichte seinen Sicherheitshinweis am 5. Oktober](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html): eine als kritisch eingestufte Schwachstelle, 9,3 Punkte auf der zehnstufigen CVSS-Skala, die es einem nicht authentifizierten Angreifer erlaubt, Dateien im Web-Root-Verzeichnis eines Servers auszulesen, wenn der exakte Pfad bekannt ist [2]. Betroffen ist jede Version unterhalb der fehlerbereinigten Releases von acht selbst gehosteten Data-Center-Produkten, darunter Bitbucket, Confluence, beide Jira-Produkte, Bamboo, Crowd, Crucible und Fisheye [2]. ## Wie Forscher aus dem Auslesen einer Datei Administratorrechte machten watchTowr Labs, ein auf offensive Sicherheitsforschung spezialisiertes Unternehmen, [veröffentlichte seine Analyse am 6. Oktober](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) [3]. Eine gemeinsam genutzte Programmbibliothek in Atlassians Web-Resource-Code wandelt Sequenzen aus doppelten Doppelpunkten in Verzeichnistrennzeichen um; so schlüpft eine ..::-Zeichenkette an den Pfadprüfungen vorbei und liest Dateien im Anwendungsserver [3]. In einer Jira-Installation mit angebundenem Crowd – Atlassians Identitäts- und Single-Sign-On-Zentrale – lasen die Forscher die Datei crowd.properties, entnahmen das Klartext-Passwort der Anwendung und legten einen Benutzer in der Gruppe jira-administrators an [3]. ## Sechs- bis siebenstellig die Zahl exponierter Server – die ersten Treffer nach zwei Stunden watchTowr verortete die Zahl exponierter Systeme „im sechs- bis siebenstelligen Bereich“, nachdem eine kurze Suche allein knapp 700.000 Confluence-Instanzen zutage gefördert hatte [3]. Previdian, ein Anbieter von Sicherheitsmonitoring, meldete, [seine Honeypots hätten 15 Angriffsversuche von drei IP-Adressen in Japan und den USA registriert](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/), die zwei Stunden nach Veröffentlichung des öffentlichen Proof of Concept einsetzten [4][5]. watchTowrs eigenes Fazit fiel unverblümter aus: Atlassian „bestrafe den Rest von uns dafür, dass wir ihre Systeme on-prem betreiben“ [3]. ## Ausgenutzt wird die Sparte, die bei der Neubewertung in Vergessenheit geriet Atlassians Sicherheitshinweis enthält den Satz, den die Bullen zitieren können: Die betroffenen Cloud-Produkte „wurden gepatcht, und unsere Untersuchung hat keine Hinweise auf eine Ausnutzung gefunden. Für Cloud-Kunden besteht kein Handlungsbedarf“ [2]. Im selben Monat [öffnete sich Bitbucket Cloud über OAuth und Atlassians MCP-Server für KI-Assistenten](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp), den Connector für das Model Context Protocol; Agenten können darin Pull Requests und Commits mit den bestehenden Berechtigungen verwalten [6]. Diese auf KI-Agenten ausgerichtete Cloud ist das Atlassian, das der Markt im Depot hält: [rund 52 Milliarden Dollar – etwa das Achtfache des Umsatzes der vergangenen zwölf Monate](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/), nach einem Kursanstieg von mehr als 200 Prozent binnen 120 Tagen [7]. *Chart: **Umsatzwachstum zieht im Juni-Quartal wieder auf 27,6 % im Jahresvergleich an** Liniendiagramm mit dem Quartalsumsatz von Atlassian, ansteigend von 1,19 Milliarden Dollar im ersten Quartal 2024 auf 1,77 Milliarden Dollar im zweiten Quartal 2026; das letzte Quartal ist als erste positive operative Marge seit dem ersten Quartal 2024 markiert.* *Quartalsumsatz in Milliarden Dollar laut den SEC-Unterlagen Atlassians; die Beschriftungen folgen Kalenderquartalen, Q2 '26 ist demnach das vierte Quartal des Geschäftsjahres und endete im Juni 2026. [8]* ## 27,6 Prozent Wachstum – und der erste operative Gewinn seit Anfang 2024 Die Zahlen des Juni-Quartals, auf denen die Neubewertung beruht, sind dokumentierte Fakten: [1,766 Milliarden Dollar Umsatz, ein Plus von 27,6 Prozent](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372) und die erste positive operative Marge nach GAAP seit dem März-Quartal 2024 [8]. Der Cloud-Umsatz stieg um 31 Prozent auf 1,21 Milliarden Dollar [7]. Die Schwachstelle liegt woanders: in den On-Premise-Installationen bei Großunternehmen und Behörden – jener Sparte, die Atlassian seit einem Jahrzehnt unter seinem Slogan [„Ascend to the Atlassian cloud“](https://investors.atlassian.com/) in Abonnements zu überführen sucht [9]. *Chart: **Die Marge von 11,9 % im Juni-Quartal ist die erste positive seit Q1 2024** Liniendiagramm der operativen GAAP-Marge Atlassians je Quartal, negativ vom zweiten Quartal 2024 bis zum ersten Quartal 2026, dann Sprung auf plus 11,9 % im zweiten Quartal 2026.* *Operative GAAP-Marge als Anteil am Umsatz je Kalenderquartal, laut den SEC-Unterlagen Atlassians; die Beschriftungen folgen Kalenderquartalen, Q2 '26 ist demnach das vierte Quartal des Geschäftsjahres und endete im Juni 2026. [8]* ## Patches gibt es – und die Bullen haben Belege Für alle acht Produkte sind korrigierte Versionen verfügbar, und watchTowr selbst merkt an, dass IP-Allowlisting in Crowd die schlimmste Angriffskette entschärft [2][3]. Chef Mike Cannon-Brookes hat zugesagt, Aktien im Wert von bis zu 250 Millionen Dollar zu kaufen, und [Bank of America](https://theinference.org/markets/companies/bank-of-america) hat die Aktie mit einem Kursziel von 175 Dollar auf „Kaufen“ hochgestuft: Atlassian sei „ein Nutznießer der KI, kein Opfer der KI“ [7]. Dass Behörden oder Unternehmen dieser Schwachstelle wegen Data Center aufgeben, lässt sich bislang öffentlich nicht messen. Bis es eine Messung gibt, ist die CVE ein Kostenpunkt für Patches und ein Argument, wenn die Verträge zur Verlängerung anstehen – nicht aber eine Umsatzposition. ## Der 5. November beantwortet eine andere Frage TEAM schloss am 16. Oktober bei 207,82 Dollar, 4,3 Prozent im Minus – ein Rückgang, den diese Chronik nicht auf die CVE zurückführt [9]. Am 5. November 2026 legt Atlassian die Zahlen für das erste Quartal des Geschäftsjahrs 2027 vor. Für das Jahr hat das Unternehmen ein Wachstum des wiederkehrenden Abo-Umsatzes (ARR) von 18 Prozent in Aussicht gestellt – gemessen an den 31 Prozent Cloud-Wachstum, welche die Neubewertung befeuert haben [7]. Die Bundesbehörden haben bis morgen Zeit. Die Frage, die den Markt bewegt, beantwortet der 5. November: Welche der beiden Wachstumsraten erweist sich als Run-Rate? ## Takeaway Die CISA-Frist vom 18. Oktober gilt nur für Atlassians selbst gehostete Produkte. Für die Cloud-Sparte, auf der die Neubewertung zu 52 Milliarden Dollar beruht, ist nichts zu tun – und am 5. November zeigt sich, ob die KI-Wachstumsgeschichte trägt. ## Sources 1. [CISA, Known Exploited Vulnerabilities Catalog entry for CVE-2026-21589, added 15 October 2026](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589) 2. [Atlassian Security Advisory, CVE-2026-21589 Arbitrary File Access Vulnerability impacts Multiple Products, 5 October 2026](https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html) 3. [watchTowr Labs, You Won't Hear About These, Even In Myths (Atlassian Jira, Confluence and more pre-auth arbitrary file read, CVE-2026-21589), 6 October 2026](https://labs.watchtowr.com/you-wont-hear-about-these-even-in-myths-atlassian-jira-confluence-and-more-pre-auth-arbitrary-file-read-cve-2026-21589/) 4. [SecurityAffairs, U.S. CISA adds Atlassian flaw to its Known Exploited Vulnerabilities catalog, 16 October 2026](https://securityaffairs.com/201086/hacking/u-s-cisa-adds-atlassian-flaw-to-its-known-exploited-vulnerabilities-catalog.html) 5. [BleepingComputer, Hackers exploit critical Atlassian flaw after public PoC release, 7 October 2026](https://www.bleepingcomputer.com/news/security/hackers-exploit-critical-atlassian-flaw-after-public-poc-release/) 6. [Atlassian blog, Connect Bitbucket Cloud to your AI tools with Atlassian MCP, October 2026](https://www.atlassian.com/blog/bitbucket/connect-bitbucket-cloud-to-your-ai-tools-with-atlassian-mcp) 7. [Ainvest, The AI Narrative at Atlassian Has Flipped. Whether It Holds Depends on What the AI Actually Earns, 17 October 2026](https://www.ainvest.com/news/ai-narrative-atlassian-flipped-holds-depends-ai-earns-2610/) 8. [Atlassian, quarterly figures from its SEC filings, retrieved 17 October 2026](https://www.sec.gov/cgi-bin/browse-edgar?action=getcompany&CIK=0001650372) 9. [Atlassian Investor Relations, stock quote and cloud migration pages, retrieved 17 October 2026](https://investors.atlassian.com/) --- US-Behörden müssen die ausgenutzte Atlassian-Lücke bis 18. Oktober schließen – für die Cloud-Produkte ist kein Handeln nötig — The Inference. Canonical: https://theinference.org/article/federal-agencies-must-patch-atlassian-s-exploited-flaw-by-october-18-cloud-products-need-no-action/de