Vulnerabilidades y Avisos de Seguridad: Ejecución remota de código en Confluence Data Center de Atlassian

Resumen de la alerta

Atlassian ha alertado de una vulnerabilidad crítica de ejecución remota de código que afecta a Confluence Data Center cuando tiene habilitada la función Remote API (XML-RPC & SOAP). El fallo está identificado como CVE-2026-90436 y se encuentra en la biblioteca Apache Axis 1.x utilizada por el producto.

En las condiciones afectadas, un atacante remoto no autenticado podría ejecutar código en el servidor de Confluence antes de que se compruebe la autenticación. INCIBE-CERT clasifica la vulnerabilidad con severidad crítica. En el momento del aviso, el estado de explotación indicado es No; por tanto, no se informa de explotación conocida de esta vulnerabilidad.

Recursos afectados

El aviso afecta a Confluence Data Center de Atlassian en las ramas 1.x a 9.x, siempre que esté activa la funcionalidad Remote API (XML-RPC & SOAP).

Atlassian identifica Confluence Data Center 9.2.28 como versión corregida dentro de la rama 9.2 LTS. La función Remote API fue retirada de Confluence Data Center 10.0.

Descripción de la vulnerabilidad

CVE-2026-90436 se debe a una deserialización insegura de determinados mensajes SOAP por parte de Apache Axis 1.x. La deserialización consiste en procesar información recibida para convertirla en objetos que la aplicación pueda utilizar. Si este proceso no valida adecuadamente los datos de entrada, puede abrir la puerta a comportamientos no previstos.

En una instalación vulnerable de Confluence Data Center con la API remota habilitada, un atacante remoto podría aprovechar mensajes SOAP específicamente diseñados para lograr la ejecución de código en el servidor. Según la información publicada, este escenario puede producirse antes de la validación de autenticación, por lo que no sería necesario disponer de una cuenta válida para intentar la explotación.

Impacto y nivel de riesgo

La explotación exitosa podría permitir la ejecución remota de código en el servidor que aloja Confluence Data Center. Este tipo de impacto implica que un atacante podría ejecutar instrucciones en el sistema afectado, dentro del contexto que permita el servicio vulnerable.

La criticidad del aviso, junto con la posibilidad de explotación remota sin autenticación cuando la API afectada está activa, hace recomendable priorizar la revisión de las instancias expuestas a esta condición.

No obstante, el aviso de INCIBE-CERT indica “Explotación: No”. Esto significa que la fuente no informa de ataques activos ni de explotación confirmada de CVE-2026-90436. La ausencia de explotación conocida no elimina el riesgo potencial asociado a sistemas vulnerables.

Solución y medidas recomendadas

La medida principal es actualizar Confluence Data Center lo antes posible a 9.2.28 en la rama LTS 9.2, o bien a una versión soportada de la rama 10.x o posterior.

Si la actualización debe aplazarse, Atlassian recomienda deshabilitar Remote API (XML-RPC & SOAP) desde la configuración general de Confluence y guardar el cambio. Esta acción está orientada a eliminar la condición indicada en el aviso para la explotación de la vulnerabilidad.

Antes de desactivar esta función, conviene comprobar si existen scripts, automatizaciones o complementos que dependan de XML-RPC o SOAP, ya que podrían verse afectados por el cambio de configuración.

Recomendaciones para organizaciones afectadas

1. Identificar las instancias de Confluence Data Center desplegadas en la organización y verificar si pertenecen a las ramas 1.x a 9.x.
2. Comprobar si está habilitada la función Remote API (XML-RPC & SOAP), ya que es la condición señalada para que el sistema resulte afectado.
3. Planificar con prioridad la actualización a Confluence Data Center 9.2.28 o a una versión soportada de la rama 10.x o posterior.
4. Cuando no sea posible actualizar de inmediato, deshabilitar Remote API tras revisar las posibles dependencias de scripts, automatizaciones y complementos.
5. Consultar las instrucciones publicadas por Atlassian para aplicar las medidas correspondientes en cada entorno.