Zammad und Atlassian: KEV-Korrekturen im Oktober 2026 nach Version und Installationsart auswählen

Worum es geht

Stand: 25. Oktober 2026. CISA nahm Zammad CVE-2026-102489 und CVE-2026-102490 am 2. Oktober sowie Atlassian CVE-2026-21589 am 15. Oktober 2026 in KEV auf. Dieser Artikel verwendet Zammads Release-Meldung vom 15. Oktober und die am 8. Oktober veröffentlichte Sicherheitsmeldung zur Rechteausweitung sowie Atlassians zuletzt am 5. Oktober 2026 geänderte Sicherheitsmeldung. Vor der Erklärung, dass die Behebung abgeschlossen ist, Release-Meldungen, Anforderungen zum Repository-Wechsel und KEV-Massnahmen erneut prüfen.

Zammad 6.5.5 stellt ausnahmsweise eine Korrektur für CVE-2026-102489 in der nicht mehr unterstützten Reihe 6.5 bereit. Der Hersteller empfiehlt 7.2.2, sofern eine Migration möglich ist. Für CVE-2026-102490 führt seine neuere Sicherheitsmeldung DEB/RPM-Installationen von packager.io bis einschliesslich 7.2.1 als betroffen und 7.2.2 als korrigiert auf; Installationen aus dem Quellcode und offizielle Container-Images sind ausgenommen. Diese lokale Schwachstelle zur Rechteausweitung setzt bereits vorhandenen Zugriff über ein Dienstkonto voraus.

Atlassians Schwachstelle ermöglicht ohne Authentifizierung den Zugriff auf bestimmte Dateien im Web-Stammverzeichnis der betroffenen Anwendung. Die Sicherheitsmeldung unterscheidet selbst gehostete Installationen von betroffenen Cloud-Produkten, die laut Meldung bereits ohne Zutun der Kunden gepatcht wurden.

Warum es wichtig ist

Eine erreichbare Anmeldeseite belegt nicht, dass eine ohne Authentifizierung ausnutzbare Schwachstelle eingedämmt ist. Ebenso belegt ein Anwendungsupgrade nicht, dass eine frühere Serverkompromittierung beseitigt wurde. Die Behebung von Schwachstellen, Zugriffsbeschränkungen und die Vorfallsuntersuchung getrennt dokumentieren.

Der folgende Ablauf ist eine vorgeschlagene Checkliste für den Betrieb. Er priorisiert unterstützte Updates und die Beweissicherung, statt die Ausnutzbarkeit zu erproben.

So wird es angewendet

• Jede Installation erfassen. Produkt, Laufzeitumgebung, Paketierungsart, Version und jedes erreichbare Backend oder jeden Cluster-Knoten dokumentieren. Bei paketbasierten Zammad-Installationen liefert dpkg-query -W zammad oder rpm -q zammad einen Paketnachweis; diesen mit der Version der laufenden Anwendung vergleichen. Die eigenen Regeln für eingehenden Verkehr und freigegebene Beobachtungen zur externen Erreichbarkeit prüfen, ohne Exploit-Anfragen zu senden.
• Zammad mit dem richtigen Repository aktualisieren. Das unterstützte Upgrade auf 7.2.2 oder ein späteres, vom Hersteller bestätigtes Release bevorzugen. Ist diese Migration für eine 6.5-Installation vorübergehend nicht möglich, vor dem Update die in der Meldung zu 6.5.5 verlinkten Anweisungen zum Repository-Wechsel befolgen: Das Notfall-Release ist nur über das neue Repository verfügbar. Wiederherstellbare Sicherungen der Datenbank und der Anhänge aufbewahren. Die Meldung zu 6.5.5 behandelt CVE-2026-102489; sie nicht als separaten Nachweis für die Behebung von CVE-2026-102490 ansehen.
• Atlassians vollständige Liste korrigierter Releases verwenden. Die passende unterstützte Versionslinie auswählen; eine Korrektur in einer Versionslinie nicht als Behebung in einer anderen auslegen:

Produkt	Vom Hersteller aufgeführte korrigierte Versionen
Bitbucket Data Center	9.4.26; 10.2.8; 10.5.1
Confluence Data Center	9.2.26; 10.2.19
Jira Service Management Data Center	5.12.40; 10.3.26; 11.3.12
Jira Software Data Center	9.12.40; 10.3.26; 11.3.12
Bamboo Data Center	10.2.24; 12.1.12
Crowd Data Center	6.3.7; 7.0.3; 7.1.7; 7.2.4
Crucible	4.9.15
Fisheye	4.9.15

• Während der Aktualisierung eindämmen. Die öffentliche Erreichbarkeit einschränken, falls das erforderliche Upgrade nicht sofort abgeschlossen werden kann. Vorübergehende Herstellerkonfigurationen nur auf das jeweils dokumentierte Produkt anwenden und jeden Zugangsweg prüfen. Für temporäre Einschränkungen ein Ablaufdatum und eine für das Update verantwortliche Person festhalten.
• Untersuchen und überprüfen. Zugriffslogs der Anwendung und des Proxys sichern; Atlassian stellt Hinweise zur Untersuchung von Zugriffslogs bereit. Unerwartete Konten, Konfigurationsänderungen und privilegierte Aktivitäten auf dem Host als Untersuchungsansätze prüfen. Nach dem Update auf jedem Knoten die laufende Version erfassen und anschliessend Anmeldung, Anhänge und erforderliche Integrationen testen. Belegen die Erkenntnisse eine Host-Kompromittierung, die Beweise sichern, den Host mit vertrauenswürdigen Medien neu aufbauen und gefährdete Dienstzugangsdaten von einem sauberen System aus austauschen.

Stolpersteine

Eine Suche nach Indikatoren ohne Treffer kann bei unvollständigen Logs keine Integrität belegen. Zammads Notfall-Release stellt die Unterstützung für die Reihe 6.5 nicht wieder her. Eine vermutlich kompromittierte Installation nicht als Ganzes in die Ersatzumgebung zurückspielen. Die beiden Zammad-CVEs und die produktspezifischen Atlassian-Updates als getrennte Abnahmeentscheidungen behandeln.