Atlassian Confluence Data Center: Angreifer können vertrauliche Inhalte auslesen
Atlassian hat eine Schwachstelle in Confluence Data Center geschlossen, über die sich ein Angreifer ohne jede Anmeldung vertrauliche Informationen aus der Kollaborationsplattform beschaffen kann. Die Lücke ist als hoch eingestuft, ein öffentlicher Angriff ist bislang nicht bekannt. Wer eine selbst gehostete Confluence-Instanz betreibt, sollte auf eine der korrigierten Versionen aktualisieren.
Was ist passiert
In seinem September-Sicherheitsbulletin hat Atlassian eine ganze Reihe von Schwachstellen in den selbst gehosteten Produkten offengelegt, darunter 144 als hoch und 17 als kritisch bewertete Lücken. Besonders relevant für Confluence Data Center ist eine Informationsoffenlegung, die Atlassian unter CVE-2026-21579 führt. Sie erlaubt es einem nicht authentifizierten Angreifer, aus der Ferne sensible Daten einzusehen, die eigentlich geschützt sein sollten.
Atlassian bewertet die Lücke nach dem neueren CVSS-4.0-Standard mit 8.2, die US-Datenbank NVD kommt nach CVSS 3.1 auf 7.5. In beiden Fällen gilt sie als hoch. Zugrunde liegt eine unzureichende Absicherung vertraulicher Informationen (CWE-200), durch die ein Angreifer an Daten gelangt, ohne sich anmelden zu müssen.
Nach bisherigem Stand wird die Schwachstelle nicht aktiv ausgenutzt. Sie ist nicht im Katalog bekannter ausgenutzter Schwachstellen der US-Behörde CISA gelistet, und die Wahrscheinlichkeit einer kurzfristigen Ausnutzung wird als niedrig eingeschätzt. Das entbindet nicht vom Patchen, denn eine unauthentifizierte Lücke in einer oft mit internem Wissen gefüllten Plattform ist ein lohnendes Ziel.
Wer ist betroffen
Betroffen ist ausschließlich Confluence Data Center in den selbst betriebenen Versionen. Die Lücke steckt nach Atlassians Angaben in zahlreichen Versionssträngen ab 7.17.0, 7.19.0, 8.5.0, 8.9.0, 9.0.1, 9.1.0, 9.2.0, 10.0.2, 10.1.0 und 10.2.0. Die bei Atlassian gehosteten Cloud-Instanzen sind nicht betroffen.
Atlassian empfiehlt, auf die jeweils aktuelle Version zu aktualisieren. Wer das nicht kann, sollte im Versionsstrang 9.2 mindestens auf 9.2.22 und im Strang 10.2 mindestens auf 10.2.14 gehen. Ältere 7.x- und 8.x-Versionen, die noch im Einsatz sind, gelten ebenfalls als anfällig und sollten auf eine unterstützte, korrigierte Fassung gehoben werden.
Neben der Informationsoffenlegung steckt im selben Bulletin eine noch schwerer bewertete Lücke: CVE-2026-21580, eine Kombination aus gespeichertem Cross-Site-Scripting und Rechteausweitung, die Atlassian mit 8.6 und die Datenbank des GitHub-Advisories mit 9.3 bewertet. Auch sie lässt sich ohne Anmeldung auslösen und kann dazu dienen, Sitzungen zu kapern oder Aktionen im Namen höher privilegierter Nutzer auszuführen. Wer patcht, schließt beide Lücken zusammen.
- Confluence Data Center auf die aktuelle Version aktualisieren, mindestens aber auf 9.2.22 (Strang 9.2) beziehungsweise 10.2.14 (Strang 10.2).
- Ältere 7.x- und 8.x-Instanzen auf eine unterstützte, korrigierte Fassung heben.
- Solange kein Patch eingespielt ist, den Zugriff auf die Confluence-Oberfläche aus dem Internet einschränken, etwa über eine Web Application Firewall oder eine Beschränkung auf interne Netze.
- Die weiteren im September-Bulletin genannten Lücken einplanen, insbesondere die kritische XSS-Lücke CVE-2026-21580.