Confluence : une faille critique concerne les anciennes API distantes
Atlassian a publié un correctif pour CVE-2026-90436, une vulnérabilité d’exécution de code à distance dans la bibliothèque Apache Axis utilisée par Confluence Data Center. L’avis, mis à jour le 10 novembre 2026 et repris par le CERT-FR, classe le risque comme critique, avec un score CVSS 4.0 de 9,3.
L’exposition dépend d’un réglage précis : l’option « Remote API (XML-RPC & SOAP) » doit être activée. Désactivée par défaut sur les nouvelles installations depuis Confluence 3.0, cette ancienne interface a été supprimée dans la branche 10. Les versions 10.x et les sites Atlassian Cloud ne sont donc pas concernés par ce défaut.
Pour les anciennes branches touchées, jusqu’à la famille 9.x, l’éditeur recommande une mise à niveau vers 9.2.28, version corrigée indiquée, ou une version récente non vulnérable. Désactiver l’API constitue une mesure temporaire, mais peut interrompre des scripts, automatisations ou extensions qui en dépendent.
Les bulletins consultés ne signalent ni exploitation active ni preuve de concept publique. Cela ne garantit pas l’absence d’attaque : Atlassian recommande de faire rechercher d’éventuels indices de compromission par l’équipe de sécurité.
Sources :
