Skip to content
Hacker Posts

Confluence Data Center : RCE non authentifiée CVE-2026-90436, CVSS 9.3

Une exécution de code à distance non authentifiée frappe Confluence Data Center via l'API distante (XML-RPC/SOAP). Corrigé en 9.2.28. Atlassian score 9.3. Patchez.

Publié le 2 min de lecture
cveatlassianconfluencealerterce

Atlassian corrige CVE-2026-90436, une exécution de code arbitraire à distance dans Confluence Data Center, scorée 9.3 (CVSS 4.0). Le vecteur est sans authentification ni interaction utilisateur. Le CERT-FR a publié l'avis le 10 novembre ; appliquez le correctif sans attendre si vous exposez l'API distante.

Source primaire : l'avis de sécurité Atlassian et l'avis CERTFR-2026-AVI-1492.

Ce que fait la faille

La vulnérabilité se trouve dans la bibliothèque Apache Axis utilisée par les API XML-RPC et SOAP de Confluence. Le vecteur CVSS publié par Atlassian — CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N — indique une attaque réseau, de faible complexité, sans privilège requis (PR:N) ni interaction (UI:N). La condition d'exploitation : l'instance doit avoir l'option « Remote API (XML-RPC & SOAP) » activée.

Versions affectées et corrigées

  • Affectées : Confluence Data Center 1.x à 9.x (toutes versions antérieures à 9.2.28). Atlassian précise que Confluence 10.x et au-dessus ne sont pas impactées.
  • Corrigée : 9.2.28. Atlassian recommande de passer à la dernière version ou à une version LTS corrigée.
  • Confluence Cloud : non concerné. Les sites hébergés en atlassian.net ne requièrent aucune action.

Que faire

  1. Mettre à jour Confluence Data Center vers 9.2.28 (ou une version LTS corrigée), ou migrer vers une branche 10.x non affectée.
  2. Mitigation temporaire si le correctif ne peut être appliqué immédiatement : désactiver l'API distante (« Remote API (XML-RPC & SOAP) ») dans la configuration. C'est l'atténuation officielle d'Atlassian.
  3. Restreindre l'exposition : aucune instance Confluence Data Center ne devrait être directement accessible depuis Internet sans filtrage.
  4. Chasser les traces post-correctif : requêtes suspectes vers les endpoints XML-RPC/SOAP, processus enfants anormaux lancés par le service Confluence, comptes ou webshells créés récemment.

Contexte

Confluence reste une cible de choix : surface exposée, données sensibles, et un historique de RCE exploitées en masse — de CVE-2021-26084 à CVE-2023-22515. Une faille non authentifiée à 9.3 sur l'API distante entre exactement dans ce schéma : public PoC ou non, l'exploitation suit en général de près la publication. Le fait que le vecteur dépende d'une option (Remote API) laisse une marge aux équipes qui ne l'utilisent pas — la désactiver est à la fois la mitigation et une réduction durable de surface.

Articles liés