Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat die aktive Ausnutzung einer hochgradig gefährlichen Schwachstelle für Remotecodeausführung (RCE) in Apache ActiveMQ Classic bestätigt, die als CVE-2026-34197 erfasst ist. Die Schwachstelle wurde in den KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgenommen, was verifizierte böswillige Aktivitäten in freier Wildbahn signalisiert und die Priorität für Abhilfemaßnahmen für alle Organisationen erhöht, die betroffene Versionen von ActiveMQ verwenden.
Die Schwachstelle ermöglicht es Angreifern, beliebige Betriebssystembefehle auf anfälligen ActiveMQ-Brokern auszuführen, indem sie die Jolokia JMX-HTTP-Management-API missbrauchen. In bestimmten Versionen kann die Schwachstelle ohne Authentifizierung ausgenutzt werden, was das Risiko für Internet-exponierte und schlecht gesicherte Umgebungen erheblich erhöht. Unternehmen, die betroffene Versionen einsetzen, wird dringend empfohlen, sofort Patches zu installieren und nach Anzeichen für eine Gefährdung zu suchen.
CVE-2026-34197 wird durch unsachgemäße Eingabevalidierung und unsichere Codeausführungspfade in Apache ActiveMQ Classic verursacht. Das Problem liegt insbesondere in der Art und Weise, wie die Jolokia-Verwaltungsschnittstelle des Brokers sensible JMX-Operationen, wie BrokerService.addNetworkConnector(), offenlegt.
Ein Angreifer kann dieses Verhalten ausnutzen, um den Broker zu zwingen, eine entfernte, vom Angreifer kontrollierte Spring-XML-Konfigurationsdatei zu laden, die während der Initialisierung ausgeführt wird. Da Spring alle Beans vor der Validierung instanziiert, führt diese Sequenz zur Ausführung von beliebigem Code innerhalb des ActiveMQ-JVM-Prozesses.
Obwohl der Exploit-Pfad normalerweise eine Authentifizierung erfordert, ist die Verwendung von Standard-Anmeldeinformationen (admin:admin) in realen Implementierungen üblich. Darüber hinaus sind die ActiveMQ-Versionen 6.0.0 bis 6.1.1 von einer separaten Sicherheitslücke (CVE-2024-32114) betroffen, die den Jolokia-Endpunkt ohne Authentifizierung offenlegt, wodurch CVE-2026-34197 in diesen Versionen zu einem unauthentifizierten RCE wird.
Die Sicherheitslücke betrifft die folgenden Komponenten und Versionen von Apache ActiveMQ Classic:
Apache ActiveMQ Artemis ist nicht betroffen.
Die CISA hat eine aktive Ausnutzung in freier Wildbahn bestätigt, woraufhin CVE-2026-34197 in den KEV-Katalog aufgenommen wurde. Während die technischen Details von Live-Angriffen begrenzt bleiben, berichten mehrere Sicherheitsüberwachungsanbieter von zunehmenden Erkundungs- und Ausnutzungsversuchen gegen öffentlich zugängliche Jolokia-Endpunkte, die mit ActiveMQ Classic-Brokern verbunden sind.
Diese Angriffe folgen einem wiederkehrenden Muster: Apache ActiveMQ wurde in den letzten Jahren wiederholt von Bedrohungsakteuren ins Visier genommen, einschließlich der Ausnutzung der Sicherheitslücke CVE-2023-46604, die im Jahr 2025 zur Verbreitung von Linux-Malware genutzt wurde. Die Aufnahme dieser Schwachstelle in die KEV-Liste ist ein Zeichen für eine glaubwürdige und anhaltende Bedrohung von Unternehmens- und Regierungsumgebungen.
Bei erfolgreicher Ausnutzung können Angreifer:
Angesichts der Rolle von ActiveMQ als Middleware in kritischen Geschäftsprozessen kann eine Kompromittierung zu erheblichen Betriebsunterbrechungen, zur Offenlegung von Daten und zur Gefährdung nachgelagerter Systeme führen. Das Risiko ist besonders akut, wenn Broker mit dem Internet verbunden sind oder Standardanmeldeinformationen verwenden.
Unternehmen sollten ActiveMQ-Broker- und Anwendungsprotokolle auf die folgenden verdächtigen Aktivitäten überprüfen:
Diese Indikatoren können auf einen versuchten oder erfolgreichen Angriff hindeuten.
Die CISA empfiehlt nachdrücklich, der Behebung dieser Schwachstelle unabhängig vom Sektor Priorität einzuräumen, auch wenn die KEV-Fristen offiziell nur für US-Bundesbehörden gelten.
Wenn Sie sich über eine der in diesem Bulletin beschriebenen Bedrohungen Sorgen machen oder Hilfe benötigen, um herauszufinden, welche Maßnahmen Sie ergreifen sollten, um sich vor den wichtigsten Bedrohungen für Ihr Unternehmen zu schützen, wenden Sie sich bitte an Ihren Kundenbetreuer oder setzen Sie sich mit uns in Verbindung, um zu erfahren, wie Sie Ihr Unternehmen schützen können.