Lỗ hổngNghiêm trọng

Lỗ hổng zero-day trong Confluence Data Center của Atlassian

Atlassian đã phát hành cảnh báo về một lỗ hổng zero-day trong Confluence Data Center, phiên bản 1.x đến 9.x. Kẻ tấn công có thể thực thi mã trên máy chủ nếu Remote API được kích hoạt. Mức độ nghiêm trọng được đánh giá là rất cao.

BNINCIBE-CERT (Tây Ban Nha)Biên tập & Phân tích

lúc 15:41 Thứ Tư, 11 tháng 11, 20260 lượt xem

Nội dung chính

Lỗ hổng nằm trong thư viện Apache Axis 1.x, mã CVE là CVE-2026-90436.
Atlassian đã xác định 9.2.28 là phiên bản đã vá của 9.2 LTS.
Hãng đề nghị cập nhật ngay hoặc vô hiệu hóa Remote API.
Nhà nghiên cứu khuyến nghị kiểm tra trước khi vô hiệu hóa Remote API.

Chi tiết sự việc

Atlassian đã công bố cảnh báo về một lỗ hổng nghiêm trọng trong Confluence Data Center, phiên bản 1.x đến 9.x. Lỗ hổng này nằm trong thư viện Apache Axis 1.x, cho phép thực thi mã từ xa nếu Remote API được kích hoạt.

Atlassian xác định phiên bản 9.2.28 là phiên bản đã vá của 9.2 LTS. Phiên bản 10.0 đã loại bỏ Remote API.

Nếu không thể cập nhật ngay, Atlassian đề nghị vô hiệu hóa Remote API (XML-RPC & SOAP) từ cài đặt chung và lưu thay đổi.

Nhà nghiên cứu khuyến nghị kiểm tra trước khi vô hiệu hóa Remote API để đảm bảo không ảnh hưởng đến các script, tự động hóa hoặc bổ sung đang sử dụng chức năng này.

Atlassian đã phát hành bản vá cho lỗ hổng này, mã CVE là CVE-2026-90436.

Khuyến nghị

Cập nhật Confluence Data Center lên phiên bản 9.2.28 hoặc phiên bản LTS sau đó.
Nếu không thể cập nhật ngay, vô hiệu hóa Remote API (XML-RPC & SOAP) từ cài đặt chung.
Kiểm tra trước khi vô hiệu hóa Remote API để đảm bảo không ảnh hưởng đến các script, tự động hóa hoặc bổ sung đang sử dụng chức năng này.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn INCIBE-CERT (Tây Ban Nha). Vui lòng đối chiếu bài gốc trước khi sử dụng.

🛡️ Thông tin lỗ hổng liên quan (1)

Tổng hợp tự động từ MITRE CVE · NIST NVD · FIRST EPSS · CISA KEV · dịch bằng AI

CVE-2026-90436CVSS 9.8 · CRITICALEPSS 1.13% · top 33%Chưa có trong KEVCWE-470

Apache Axis 1.x (đã hết hỗ trợ): khởi tạo lớp không xác thực từ xa thông qua lỗi SOAP exceptionName

** KHI GIAO DỊCH ĐƯỢC GAN ** Deserialization của một lỗi SOAP nhập vào trong Apache Axis 1.x cho phép khởi tạo lớp không xác thực từ xa. Khi một SOAP <Fault> mang theo một <detail><exceptionName> element, Axis tải lớp được chỉ định và, nếu có một element <data> là String, khởi tạo nó thông qua constructor String trước khi kiểm tra xem nó có phải là AxisFault hay không. Việc tải lớp đơn độc chạy static initializer …

CNA cấp mã: apache · Loại lỗi: CWE-470

Sản phẩm bị ảnh hưởng: Apache Software Foundation Apache Axis 1.x (EOL) (0 → ≤ 1.4); Apache Software Foundation Apache Axis 1.x (EOL) (0 → ≤ 1.4); Apache Software Foundation Apache Axis 1.x (EOL) (aac718c6035435d96b39d6aebb9c078a13af7cc8 → < 41f3b4e8d04e310ca81f86b92630ab2c11d608bd)

Tham chiếu:github.com (bản vá)lists.apache.org (khuyến cáo)

Hồ sơ CVE NVD ↗CVE.org ↗Tin liên quan