Den Mechanismus der Schwachstelle beschreibt Naveen Sunkavally von Horizon3.ai konkret: Ein Angreifer könne über die Jolokia-API von ActiveMQ eine Verwaltungsoperation aufrufen und den Broker so dazu bringen, eine entfernte Konfigurationsdatei abzurufen und beliebige Betriebssystembefehle auszuführen.
Für den Angriff sind grundsätzlich Zugangsdaten erforderlich. Sunkavally weist jedoch darauf hin, dass Standard-Zugangsdaten wie „admin:admin" in vielen Umgebungen verbreitet seien. In den Versionen 6.0.0 bis 6.1.1 sind sogar gar keine Anmeldedaten nötig: Eine weitere Schwachstelle, CVE-2024-32114, legt dort die Jolokia-API ungewollt ohne Authentifizierung offen. In diesen Versionen wirkt CVE-2026-34197 damit faktisch als nicht authentifizierte Remote-Code-Execution.
Zur konkreten Vorgehensweise der Angreifer liegen bislang keine Details vor. SAFE Security berichtete in dieser Woche jedoch, dass Bedrohungsakteure aktiv exponierte Jolokia-Verwaltungsschnittstellen in Installationen von Apache ActiveMQ Classic angreifen. Als Abhilfe empfiehlt das Unternehmen, alle Installationen auf von außen erreichbare Jolokia-Endpunkte zu prüfen, den Zugriff auf vertrauenswürdige Netze zu beschränken, eine starke Authentifizierung durchzusetzen und Jolokia dort zu deaktivieren, wo es nicht benötigt wird. Angesichts der Rolle von ActiveMQ in Unternehmens-Messaging und Datenpipelines stellten offene Verwaltungsschnittstellen ein hohes Risiko dar und könnten Datenabfluss, Dienstunterbrechungen oder seitliche Bewegung im Netzwerk ermöglichen.
Apache ActiveMQ ist ein wiederkehrendes Angriffsziel: Schwachstellen in dem quelloffenen Message-Broker wurden seit 2021 mehrfach in verschiedenen Malware-Kampagnen ausgenutzt. Im August 2025 missbrauchten unbekannte Akteure eine kritische Lücke in ActiveMQ (CVE-2023-46604, CVSS-Wert 10.0), um eine Linux-Malware namens DripDropper einzuschleusen.