Confluence : une faille dans l’ancienne interface distante à corriger

La rédaction VCSTS · 13 novembre 2026 · Technologie

https://vcsts.com/actualites/confluence-interface-distante-correctif-novembre-2026/

Texte généré avec l’intelligence artificielle, sous la responsabilité éditoriale de VCSTS.

Le 10 novembre 2026, le CERT-FR a signalé une faille dans Confluence Data Center. Les installations concernées doivent être corrigées lorsque leur ancienne interface distante est activée ; Atlassian documente aussi une mesure temporaire.

Illustration : scène conceptuelle évoquant la maintenance d’un service informatique et de ses accès distants.

Une interface ancienne ouvre un risque d’exécution de code

Le bulletin Atlassian, mis à jour le 10 novembre 2026, décrit une vulnérabilité permettant l’exécution de code à distance dans Confluence Data Center. Elle touche Apache Axis, une bibliothèque utilisée par ses interfaces XML-RPC et SOAP, qui permettent à des logiciels de communiquer avec Confluence.

L’identifiant de cette faille est CVE-2026-90436. Le CERT-FR a publié son avis le 10 novembre. Pour une entreprise concernée, la décision est de faire vérifier le réglage exposé puis d’organiser la correction.

L’activation du réglage détermine l’exposition

L’installation doit avoir l’option Remote API (XML-RPC & SOAP) activée pour être vulnérable. Atlassian précise que cette option est désactivée par défaut pour les nouvelles installations depuis Confluence 3.0. Ce réglage par défaut ne dispense donc pas de vérifier son état réel.

Le bulletin vise les anciennes branches de Confluence Data Center, des versions 1 à 9, et désigne 9.2.28 comme version corrigée. Les versions 10 et suivantes ne sont pas affectées : cette fonctionnalité a été entièrement supprimée dans Confluence 10.0.

Les sites Atlassian Cloud sont également exclus, sans action nécessaire pour cette faille. L’éditeur précise notamment que les sites accessibles sur un domaine atlassian.net ou jira.com sont hébergés par Atlassian et ne sont pas vulnérables à ce problème.

Une correction recommandée immédiatement

Atlassian demande de corriger immédiatement chaque installation affectée, vers une version récente non affectée ou une version corrigée indiquée dans son bulletin. Il ne fixe pas de date limite calendaire.

Si cette correction ne peut pas être appliquée immédiatement, l’éditeur documente la désactivation temporaire de l’interface distante. Cette opération peut interrompre des scripts, des automatisations et des extensions tierces. Atlassian propose donc de tester la mesure dans un environnement hors production avant de l’étendre.

Les vérifications à confier à votre responsable technique

Identifier chaque installation concernée, sa version et l’état de l’option Remote API (XML-RPC & SOAP).
Préparer la mise à jour vers une version non affectée ; le bulletin cite explicitement 9.2.28 parmi les versions corrigées.
Si nécessaire, appliquer la mesure temporaire : avec un compte administrateur, ouvrir General Configuration, puis Further Configuration, choisir Edit, décocher l’option et enregistrer avec Save. Le changement prend effet sans redémarrage.
Contrôler la désactivation en ouvrant, sous l’adresse de votre instance, le chemin /plugins/servlet/soap-axis1/confluenceservice-v2. Le résultat attendu est HTTP Status 403 - Forbidden. Sinon, reprendre les étapes et solliciter le support Atlassian.
Faire rechercher d’éventuelles traces de compromission sur les installations affectées par votre équipe de sécurité, comme le recommande l’éditeur.

Pour le suivi des protections de votre environnement Confluence, VCSTS entretient les protections du périmètre confié : mises à jour des composants couverts, revue des comptes et règles.