L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a confirmé l'exploitation active d'une vulnérabilité d'exécution de code à distance (RCE) de grande gravité dans Apache ActiveMQ Classic, répertoriée sous la référence CVE-2026-34197. La faille a été ajoutée au catalogue KEV (Known Exploited Vulnerabilities) de la CISA, signalant une activité malveillante vérifiée dans la nature et élevant la priorité de remédiation pour toutes les organisations utilisant les versions affectées d'ActiveMQ
La faille permet aux attaquants d'exécuter des commandes arbitraires du système d'exploitation sur les brokers ActiveMQ vulnérables en abusant de l'API de gestion Jolokia JMX-HTTP. Dans certaines versions, la vulnérabilité peut être exploitée sans authentification, ce qui augmente considérablement le risque pour les environnements exposés à Internet et mal sécurisés. Il est fortement conseillé aux organisations utilisant les versions affectées de mettre en place des correctifs immédiatement et de rechercher des signes de compromission.
CVE-2026-34197 est causée par une validation d'entrée incorrecte et des chemins d'exécution de code non sécurisés dans Apache ActiveMQ Classic. Plus précisément, le problème réside dans la façon dont l'interface de gestion Jolokia du courtier expose des opérations JMX sensibles, telles que BrokerService.addNetworkConnector().
Un attaquant peut exploiter ce comportement pour contraindre le courtier à charger un fichier de configuration Spring XML distant, contrôlé par l'attaquant, qui est exécuté pendant l'initialisation. Étant donné que Spring instancie tous les haricots avant la validation, cette séquence entraîne l'exécution de code arbitraire dans le processus JVM ActiveMQ.
Bien que le chemin d'exploitation nécessite généralement une authentification, l'utilisation d'informations d'identification par défaut (admin:admin) est courante dans les déploiements réels. De plus, les versions 6.0.0 à 6.1.1 d'ActiveMQ sont affectées par une vulnérabilité distincte (CVE-2024-32114) qui expose le point de terminaison Jolokia sans authentification, ce qui fait de CVE-2026-34197 un RCE non authentifié dans ces versions.
La vulnérabilité affecte les composants et versions d'Apache ActiveMQ Classic suivants :
Apache ActiveMQ Artemis n'est pas concerné.
La CISA a confirmé l'existence d'une exploitation active dans la nature, ce qui a conduit à l'ajout de la CVE-2026-34197 au catalogue KEV. Bien que les détails techniques des attaques en direct restent limités, de nombreux fournisseurs de surveillance de la sécurité signalent une augmentation des tentatives de reconnaissance et d'exploitation contre les points d'extrémité Jolokia exposés publiquement et associés aux courtiers ActiveMQ Classic.
Cette exploitation suit un schéma récurrent : Apache ActiveMQ a été ciblé à plusieurs reprises par des acteurs menaçants au cours des dernières années, notamment par l'exploitation de la vulnérabilité CVE-2023-46604, qui a été utilisée en 2025 pour déployer des logiciels malveillants sous Linux. L'ajout de cette vulnérabilité à la liste KEV signale une menace crédible et permanente pour les environnements des entreprises et des gouvernements.
Une exploitation réussie permet aux attaquants de :
Étant donné le rôle d'ActiveMQ en tant qu'intergiciel dans les processus commerciaux critiques, la compromission peut conduire à une perturbation opérationnelle importante, à l'exposition des données et à la compromission des systèmes en aval. Le risque est particulièrement élevé lorsque les courtiers sont connectés à Internet ou utilisent des identifiants par défaut.
Les organisations doivent examiner le courtier ActiveMQ et les journaux d'application pour détecter les activités suspectes suivantes :
Ces indicateurs peuvent suggérer une tentative d'exploitation ou une exploitation réussie.
La CISA recommande vivement de donner la priorité à la correction de cette vulnérabilité, quel que soit le secteur, même si les délais de la KEV ne s'appliquent officiellement qu'aux agences fédérales américaines.
Si vous êtes préoccupé par l'une des menaces décrites dans ce bulletin ou si vous avez besoin d'aide pour déterminer les mesures à prendre pour vous protéger contre les menaces les plus importantes auxquelles votre organisation est confrontée, veuillez contacter votre gestionnaire de compte, ou bien prenez contact avec nouspour savoir comment vous pouvez protéger votre organisation.