Apache ActiveMQ: Kritische Lücke wird aktiv ausgenutzt

EUVD-2026-19588 / CVE-2026-34197 Apache-Nachrichtenbroker im KEV-Katalog der CISA gelandet

Eine Code-Injection-Sicherheitslücke in Apache ActiveMQ wird aktiv aus­genutzt. Aufgrund eines Fehlers in der Eingabevalidierung kann ein authen­ti­fi­zierter Angreifer beliebigen Code ausführen und anfällige Systeme kom­pro­mittieren.

Die Schwachstelle EUVD-2026-19588 / CVE-2026-34197 betrifft den Apache ActiveMQ Broker in den Versionen vor 5.19.4 sowie von 6.0.0 bis einschließlich 6.2.2. Auch Apache ActiveMQ ist betroffen.

(Bild: oz - stock.adobe.com)

Eine unsachgemäße Eingabevalidierung und unzureichende Kontrolle der Code-Generierung hat dazu geführt, dass im Nachrichtenbroker ActiveMQ der Apache Software Foundation eine Sicherheitslücke klafft, die mittlerweile aktiv ausgenutzt wird. EUVD-2026-19588 / CVE-2026­34197 hat einen CVSS-Score von 8.8 und einen derzeitigen EPSS-Score^* von 46.64 Prozent. Die CISA hat die Schwachstelle am 16. April 2026 in ihren KEV-Katalog aufgenommen.

Code-Injection-Schwachstelle

Der von Apache beschrieben Software-Fehler wird auch als „Code Injection“ bezeichnet. Dabei werden von außen gelieferte Daten vom System als Code interpretiert, anstatt nur als Daten, und ausgeführt. Über die Jolokia-Schnittstelle kann ein authentifizierter Nutzer „exec“-Opera­tio­nen auf MBeans ausführen und etwa die Methode „addNetworkConnector“ mit einer prä­pa­rier­ten URI aufrufen, die über den Parameter „brokerConfig“ ein entferntes Spring-XML lädt. Dabei erzeugt Springs ResourceXmlApplicationContext die Beans, noch bevor ActiveMQ die Konfiguration prüft. Eine bösartige Bean-Definition kann so beispielsweise „Runtime.exec()“ ausführen, was zu beliebiger Codeausführung im Broker-Prozess führt.

Diese ActiveMQ-Versionen sind von EUVD-2026-19588 / CVE-2026-34197 betroffen:

Nutzer sollten ein Upgrade auf die Version 5.19.4 oder 6.2.3 durchführen, da diese Versionen die Schwachstelle beheben. Ansonsten können authentifzierte Angreifer mit Zugang zur Web­kon­sole auf dem ActiveMQ-Server beliebigen Code ausführen, was zur Übernahme des Sys­tems führen kann.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

(ID:50822168)