Atlassian hat eine Reihe von Sicherheitslücken in seiner Produktreihe offenlegt und geschlossen, wobei die kritischste eine Man-in-the-Middle-Schwachstelle in Confluence Data Center ist, die mit dem maximalen CVSS-Score von 10 von 10 bewertet wird.
Die als CVE-2026-45674 verfolgte Schwachstelle ermöglicht es einem Angreifer, Verbindungen zu Confluence-Data-Center-Installationen abzufangen und mitzuhören. Atlassian beschreibt sie als betreffend sowohl Data-Center- als auch Server-Bereitstellungen von Confluence.
Zusätzlich zur kritischen Confluence-Lücke patchte Atlassian mehrere hochrangige Probleme in Bamboo:
- CVE-2026-54512 (hoch): Ermöglicht es Angreifern, Bamboo-Installationen aus der Ferne zum Absturz zu bringen - CVE-2026-54513 (hoch): Ermöglicht die Fernausführung von Schadcode auf betroffenen Systemen
Folgende Produkte und Versionen wurden gepatcht:
- Bamboo Data Center and Server: 12.1.11 LTS, 10.2.23 LTS - Bitbucket Data Center and Server: 10.4.3, 10.2.7 LTS, 9.4.24 LTS - Confluence Data Center and Server: 10.2.18 LTS, 9.2.25 LTS - Crowd Data Center and Server: 7.2.3 - Fisheye/Crucible: 4.9.14 - Jira Data Center and Server: 11.3.11 LTS, 10.3.25 LTS - Jira Service Management Data Center and Server: 11.3.11 LTS, 10.3.25 LTS
Atlassian gibt an, dass keine bekannten aktiven Exploits in der Wildbahn vorliegen, doch angesichts der Schwere der Confluence-Lücke und der öffentlichen Natur der Patches sollten Administratoren die Installation der Updates sofort prioritieren.
Die Ankündigung erfolgt im Rahmen von Atlias regulärem Sicherheitswartungszyklus, doch das Vorhandensein einer CVSS-10-Schwachstelle macht diese Runde besonders dringend für Organisationen, die selbst gehostete Confluence-Bereitstellungen betreiben.
