La Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) ha confirmado la explotación activa de una vulnerabilidad de ejecución remota de código (RCE) de alta gravedad en Apache ActiveMQ Classic, rastreada como CVE-2026-34197. El fallo se ha añadido al Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA, señalando actividad maliciosa verificada en la naturaleza y elevando la prioridad de remediación para todas las organizaciones que utilizan versiones afectadas de ActiveMQ.
El fallo permite a los atacantes ejecutar comandos arbitrarios del sistema operativo en los brokers ActiveMQ vulnerables abusando de la API de gestión JMX-HTTP de Jolokia. En ciertas versiones, la vulnerabilidad puede ser explotada sin autenticación, aumentando significativamente el riesgo en entornos expuestos a Internet y poco seguros. Se recomienda encarecidamente a las organizaciones que utilicen las versiones afectadas que parcheen inmediatamente e investiguen si hay indicios de compromiso.
CVE-2026-34197 está causado por una validación de entrada incorrecta y rutas de ejecución de código inseguras en Apache ActiveMQ Classic. En concreto, el problema reside en la forma en que la interfaz de gestión Jolokia del broker expone operaciones JMX sensibles, como BrokerService.addNetworkConnector().
Un atacante puede explotar este comportamiento para obligar al broker a cargar un archivo de configuración XML de Spring remoto, controlado por el atacante, que se ejecuta durante la inicialización. Dado que Spring instancia todos los beans antes de que se produzca la validación, esta secuencia da lugar a la ejecución de código arbitrario dentro del proceso JVM de ActiveMQ.
Aunque la ruta del exploit normalmente requiere autenticación, el uso de credenciales por defecto (admin:admin) es común en despliegues del mundo real. Además, las versiones 6.0.0 a 6.1.1 de ActiveMQ están afectadas por una vulnerabilidad independiente (CVE-2024-32114) que expone el endpoint Jolokia sin autenticación, lo que convierte a CVE-2026-34197 en un RCE sin autenticación en esas versiones.
La vulnerabilidad afecta a los siguientes componentes y versiones de Apache ActiveMQ Classic:
Apache ActiveMQ Artemis no está afectado.
CISA ha confirmado la explotación activa en la naturaleza, lo que llevó a la adición de CVE-2026-34197 al Catálogo KEV. Aunque los detalles técnicos de los ataques en directo siguen siendo limitados, varios proveedores de supervisión de la seguridad informan de un aumento de los intentos de reconocimiento y explotación contra puntos finales de Jolokia expuestos públicamente y asociados a agentes ActiveMQ Classic.
Esta explotación sigue un patrón recurrente: En los últimos años, Apache ActiveMQ ha sido objeto de repetidos ataques por parte de actores de amenazas, incluida la explotación de CVE-2023-46604, que se utilizó en 2025 para desplegar malware de Linux. La adición de esta vulnerabilidad a la lista KEV señala una amenaza creíble y continua para los entornos empresariales y gubernamentales.
Una explotación exitosa permite a los atacantes
Dado el papel que desempeña ActiveMQ como middleware en procesos empresariales críticos, un ataque puede provocar una interrupción significativa de las operaciones, la exposición de los datos y el compromiso del sistema. El riesgo es especialmente grave cuando los intermediarios se conectan a Internet o utilizan credenciales predeterminadas.
Las organizaciones deben revisar los registros de aplicaciones y agentes de ActiveMQ para detectar las siguientes actividades sospechosas:
Estos indicadores pueden sugerir un intento o éxito de explotación.
CISA recomienda encarecidamente dar prioridad a la corrección de esta vulnerabilidad independientemente del sector, aunque los plazos de KEV se aplican formalmente sólo a las agencias federales de EE.UU..
Si le preocupa alguna de las amenazas descritas en este boletín o necesita ayuda para determinar qué medidas debe tomar para protegerse de las amenazas más importantes a las que se enfrenta su organización, póngase en contacto con su gestor de cuentas o, alternativamente, póngase en contactopara averiguar cómo puede proteger su organización.