top of page
搜尋

【Linktech 資安神隊友】Confluence RCE－CVE-2026-90436

作家相片: Linktech
Linktech
20小时前
讀畢需時 4 分鐘

｜前言

Atlassian 於 2026 年 11 月 9 日 發布一則「非每月排程」之重大安全通報：CVE-2026-90436，為 Confluence Data Center 之遠端程式碼執行（RCE）漏洞，嚴重等級為 Critical（CVSS 9.3）。此漏洞源自 Confluence 於 XML-RPC 與 SOAP API 所使用之第三方套件 Apache Axis，該套件公布之重大漏洞可導致未經身分驗證之遠端攻擊者執行任意程式碼。


由於此漏洞屬於可遠端利用、無需權限、無需使用者互動之高風險 RCE，且已於每月公告排程外單獨發布，建議受影響組織比照緊急事件立即評估與處置，不宜等待每月例行公告。使用 Atlassian Cloud（atlassian.net／jira.com 網域）之用戶不受影響，無需採取行動。


｜漏洞資訊總覽

CVE 編號

CVE-2026-90436

漏洞名稱

Remote Code Execution in Confluence Data Center（遠端程式碼執行）

公告發布日期

2026 年 11 月 9 日（Tue, Nov 9 2026 22:00 PST）

影響產品

Confluence Data Center（Atlassian Cloud 不受影響）

嚴重性

Critical（嚴重）

CVSS 分數

9.3（CVSS 4.0）

CVSS 向量

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

漏洞成因

第三方套件 Apache Axis（XML-RPC 與 SOAP API）之 RCE 漏洞

利用前提

Confluence 需啟用「Remote API (XML-RPC & SOAP)」功能

相關 Jira 單號

CONFSERVER-104610


｜漏洞說明

Confluence 在其 XML-RPC 與 SOAP API 中採用第三方函式庫 Apache Axis。Apache Axis 公布之重大漏洞（對應 CVE-2026-90436）可允許遠端程式碼執行（RCE）。攻擊者在符合利用條件之情況下，可對 Confluence Data Center 實例遠端執行任意程式碼，進而危害系統機密性、完整性與可用性。


利用前提（是否受影響之判斷）

  1. Confluence 實例必須已啟用 Remote API (XML-RPC & SOAP) 功能，才會受到此漏洞影響。

  2. 自 Confluence 3.0 起，新安裝之環境預設「關閉」此功能；但由舊版升級而來或曾手動開啟者，仍可能處於啟用狀態，須逐一確認。

  3. 此功能已於 Confluence 10.0 完全移除，因此 Confluence 10.x（含）以上版本不受影響。


｜受影響版本

受影響版本（Confluence Data Center）

  • 1.x.x

  • 2.x.x

  • 3.x.x

  • 4.x.x

  • 5.x.x

  • 6.x.x

  • 7.x.x

  • 8.x.x

  • 9.x.x

註：Confluence 10.x 及以上版本不受影響（Remote API 功能已於 10.0 移除）。


｜建議修補版本

修補版本

• Confluence Data Center 9.2.28    建議立即升級（或升級至最新版本 / 修復 LTS 版本）

產品

修補版本

Confluence Data Center

9.2.28


｜緊急處置建議

一、立即升級（最優先）

Atlassian 建議將所有受影響之 Confluence Data Center 安裝立即升級至最新版本，或上述所列之修復版本（9.2.28）。


二、若暫時無法升級，套用臨時緩解措施

關閉「Remote API (XML-RPC & SOAP)」。請注意：關閉後可能導致部分依賴此 API 之腳本、自動化與第三方外掛停止運作，建議先於非正式環境測試後再套用至正式站台。步驟如下：

1.        以管理員身分登入 Confluence。

2.        點選右上角齒輪圖示 →「General Configuration（一般設定）」→「Further Configuration（進階設定）」；亦可透過 <base_url>/admin/viewspacesconfig.action 進入。

3.        點選右側「Edit（編輯）」按鈕。

4.        取消勾選「Remote API (XML-RPC & SOAP)」核取方塊。

5.        點選最下方「Save（儲存）」；頁面重新載入後確認該核取方塊已為未勾選狀態。無需重新啟動 Confluence，儲存後即時生效。


三、驗證緩解措施是否生效

1.        於瀏覽器開啟 <base_url>/plugins/servlet/soap-axis1/confluenceservice-v2。

2.        若緩解措施正確生效，將顯示「HTTP Status 403 - Forbidden」。

3.        若出現關於「confluenceservice-v2」或「AXIS service」之訊息，請重新檢查上述步驟，並與 Atlassian 支援聯繫。

 

四、入侵跡象偵測（Threat Detection）

Atlassian 無法確認您的實例是否已遭入侵。建議由貴司資安團隊對所有受影響之實例進行檢查，確認是否有遭入侵之跡象（如異常程序、可疑檔案、異常網路連線或日誌）。


｜CVSS 向量說明

本漏洞 CVSS 4.0 分數為 9.3（Critical），為原廠自評結果，實際風險仍應依貴司 IT 環境之暴露面與設定自行評估。


｜Atlassian Cloud 影響狀況

此漏洞對 Atlassian Cloud 站台無影響，無需採取任何行動。若您的 Confluence 透過 atlassian.net 或 jira.com 網域存取，即由 Atlassian 安全託管，不受此漏洞影響。本通報僅針對自行部署之 Confluence Data Center（含舊版 Server）。


｜總結

CVE-2026-90436 為可遠端、未經驗證利用之 Confluence Data Center RCE 重大漏洞，一旦遭成功利用，可能導致：

  • 系統遭遠端植入惡意程式或後門

  • 機敏資料外洩或遭竄改

  • 服務中斷與營運衝擊

  • 成為橫向移動跳板，危害內網其他資產


建議處置優先順序：

（1）立即升級至 9.2.28 或最新版本

（2）如無法立即升級，先關閉 Remote API (XML-RPC & SOAP) 作為臨時緩解並完成驗證

（3）由資安團隊進行入侵跡象檢查


Linktech 深耕 Atlassian 系列解決方案，並同時覆蓋 資訊安全檢測 與 系統升級支援：

  1. 全環境盤點與資安檢測：升級前進行完整漏洞掃描與系統健康檢查。

  2. 安全強化：針對 Atlassian 產品提供修補建議與最佳安全設定。

  3. 專業升級服務：確保 Atlassian Data Center 系列產品升級後功能正常、資料完整不流失。

  4. 長期維運顧問：協助企業保持持續更新，降低資安與營運風險。

 

若您的 Atlassian 環境正受此次漏洞影響，建議立即：

  1. 確認是否啟用 Remote API (XML-RPC & SOAP) 及受影響版本範圍

  2. 評估升級或緩解方案


Linktech 專業顧問 將協助您完成 安全檢測、緊急修補與後續維運，確保系統安全無虞。


Linktech 團隊洽詢方式：


留言

bottom of page