Ejecución remota de código en Confluence Data Center de Atlassian
Confluence Data Center, ramas 1.x a 9.x, cuando esté habilitada la función Remote API (XML-RPC & SOAP). Atlassian identifica 9.2.28 como versión corregida de la rama 9.2 LTS. La función se retiró en Confluence Data Center 10.0.
Atlassian ha publicado un aviso sobre una vulnerabilidad crítica en la biblioteca Apache Axis que utiliza Confluence Data Center. Un atacante remoto sin autenticar podría ejecutar código en el servidor si la API remota está habilitada.
Actualizar cuanto antes a Confluence Data Center 9.2.28 de la rama LTS o a una versión soportada de la rama 10.x o posterior.
Si se aplaza la actualización, deshabilitar Remote API (XML-RPC & SOAP) desde la configuración general y guardar el cambio. Comprobar antes si hay scripts, automatizaciones o complementos que dependan de esa función. Consultar las instrucciones de Atlassian.
CVE-2026-90436: la biblioteca Apache Axis 1.x deserializa de forma insegura determinados mensajes SOAP. En una instancia de Confluence Data Center con la API remota habilitada, el fallo podría permitir la ejecución de código en el servidor antes de que se compruebe la autenticación.
| Identificador CVE | Severidad | Explotación | Fabricante |
|---|---|---|---|
| CVE-2026-90436 | Crítica | No | ATLASSIAN |
