Atlassian-Sicherheitsupdate Februar 2026 – Handlungsbedarf für Bamboo, Confluence und Crowd

Atlassian hat am 17. Februar 2026 seinen monatlichen Sicherheitsbericht veröffentlicht, der 13 hochgradige und 3 kritische Schwachstellen in seinen Data-Center- und Server-Produkten auflistet. Betroffen sind Bamboo, Confluence und Crowd – wer diese Produkte selbst betreibt (On-Premises), sollte zeitnah handeln.

Die gravierendsten Lücken betreffen Crowd: Zwei Injection-Schwachstellen (CVE-2025-9288 und CVE-2025-9287, CVSS 9.1) sowie eine XXE-Lücke (CVE-2025-66516, CVSS 9.8) in eingebetteten Drittbibliotheken ermöglichen theoretisch das Einschleusen von Code oder das Auslesen interner Systemdaten. Atlassian stuft das tatsächliche Risiko durch die Art der Einbindung niedriger ein – kritisch bleibt es trotzdem. Hinzu kommt eine Remote-Code-Execution-Lücke via commons-beanutils (CVE-2025-48734, CVSS 8.8). Für Confluence wurden mehrere Denial-of-Service-Schwachstellen sowie eine File-Inclusion-Lücke (CVE-2025-59343, CVSS 8.7) gepatcht. Bamboo erhält einen Fix für DOM-basiertes Cross-Site-Scripting.

Bin ich betroffen? Wer Atlassian-Produkte in der Cloud nutzt, muss nichts tun – Atlassian patcht dort selbst. Betroffen sind ausschließlich selbst gehostete Instanzen. Die betroffenen Versionsbereiche sind im Bulletin detailliert aufgeführt; die eigene Version lässt sich schnell in den Produkteinstellungen unter „System" oder „About" ablesen und mit der Liste abgleichen.

Empfehlung: Update auf die jeweils empfohlene LTS-Version durchführen – für Crowd ist das 7.1.4, für Confluence 10.2.6 bzw. 9.2.15, für Bamboo 12.1.2. Wer ältere, nicht mehr unterstützte Versionen einsetzt, sollte den Sprung auf eine aktuelle LTS-Version priorisieren. Das Atlassian Vulnerability Disclosure Portal hilft beim Abgleich der eigenen Versionen mit bekannten CVEs.

Originalartikel: https://confluence.atlassian.com/security/security-bulletin-february-17-2026

Tags :

Related Posts

Kritische Sicherheitslücke in Roundcube Webmail – sofortiges Update erforderlich

In Roundcube Webmail wurde eine schwerwiegende Schwachstelle (CVE-2025-49113) entdeckt, die es eingeloggten Angreifern ermöglicht, beliebigen Code auf dem Server auszuführen. Die Lücke steckt in der Datei-Upload-Funktion, wo ein Parameter nicht korrekt geprüft wird – was sogenannte PHP Object Deserialization ermöglicht. Die US-Behörde CISA hat die Schwachstelle bereits in ihren Katalog aktiv ausgenutzter Lücken aufgenommen, was bedeutet: Sie wird in freier Wildbahn angegriffen.

Read More

KI-generierte Passwörter sind unsicher – auch wenn sie stark aussehen

Wer ChatGPT, Claude oder Gemini bittet, ein Passwort zu generieren, bekommt etwas, das sicher aussieht – aber es nicht ist. Sicherheitsforscher von Irregular Security haben das systematisch nachgewiesen: In 50 Testläufen produzierte Claude Opus 4.6 das Passwort G7$kL9#mQ2&xP4!w satte 18-mal. Klassische Passwort-Tools wie KeePass bewerten solche Passwörter mit ~100 Bit Entropie und damit als „exzellent" – tatsächlich liegt die reale Entropie laut Analyse bei nur etwa 27 Bit. Das ist der Unterschied zwischen „Milliarden Jahre zum Knacken" und „Sekunden mit einem Heimrechner".

Read More

Kritische Sicherheitslücken in Kubernetes Ingress NGINX Controller

Der Kubernetes Ingress NGINX Controller weist mehrere Schwachstellen auf, die mit einem CVSS-Score von 8.8 als hochkritisch eingestuft werden. Betroffen sind alle Versionen vor 1.13.7 und 1.14.3. Die Lücken ermöglichen authentisierten Angreifern Remote-Code-Execution, das Umgehen von Sicherheitsmaßnahmen, Informationsoffenlegung und Denial-of-Service-Angriffe.

Read More