SchwachstellenHackerangriffeCyberkriminalität

Kritische Apache-ActiveMQ-Lücke wird aktiv ausgenutzt – 13 Jahre unentdeckt

Kritische Apache-ActiveMQ-Lücke wird aktiv ausgenutzt – 13 Jahre unentdeckt
Zusammenfassung

Eine kritische Sicherheitslücke in Apache ActiveMQ gefährdet weltweit Unternehmen und Infrastrukturen. Die als CVE-2026-34197 bezeichnete Schwachstelle ermöglicht es authentifizierten Angreifern, beliebigen Code auszuführen, und war über 13 Jahre lang unentdeckt im Code verborgen, bevor sie Anfang April öffentlich wurde. Besonders besorgniserregend ist, dass viele ActiveMQ-Installationen mit bekannten Standard-Zugangsdaten geschützt sind, was die Exploitierbarkeit erheblich erhöht. Noch kritischer wird die Situation durch die Möglichkeit, diese Lücke mit der älteren CVE-2024-32114 zu verketten und damit sogar unauthentifizierte Remote-Code-Ausführung zu erreichen. Die US-Cybersecurity-Behörde CISA hat die Sicherheitslücke bereits in ihren Katalog der bekannterweise ausgenutzt werdenden Schwachstellen aufgenommen und fordert Bundesbehörden auf, bis Ende April zu patchen. Sicherheitsforscher von Fortinet haben in der vergangenen Woche bereits Dutzende Exploitierungsversuche beobachtet. Für deutsche Unternehmen, die ActiveMQ einsetzen – etwa in Finanzinstitutionen, Telekommunikation und produzierenden Betrieben – ist schnelles Handeln erforderlich, um Cyberangriffe abzuwehren.

Die Sicherheitslücke CVE-2026-34197 betrifft die Jolokia-API des Open-Source-Message-Brokers Apache ActiveMQ und ermöglicht authentifizierten Angreifern die Ausführung beliebigen Codes. Besonders brisant: Die Fachleute von Horizon3, die die Lücke entdeckten und am 7. April offenlegten, wiesen darauf hin, dass viele ActiveMQ-Installationen mit standardmäßigen, allgemein bekannten Zugangsdaten abgesichert sind. Dies senkt die Einstiegshürde für potenzielle Attacken erheblich.

Darüber hinaus lässt sich CVE-2026-34197 mit der älteren Schwachstelle CVE-2024-32114 kombinieren, um eine uneingeschränkte Remote-Code-Execution ohne jegliche Authentifizierung zu erreichen. Diese Verkettung machen die Lücke zu einer bevorzugten Angriffsoberfläche für Cyberkriminelle.

Bereits eine Woche nach der Veröffentlichung registrierte Fortinet Dutzende von Ausnutzungsversuchen. Die genaue Natur dieser Attacken bleibt derzeit unklar, doch die Menge deutet auf organisierte Angreifer hin, die schnell reagiert haben.

Apache hat die Schwachstelle bereits mit den Versionen 5.19.5 und 6.2.3 gepatcht. Allerdings besteht eine kritische Zeitspanne zwischen Veröffentlichung und Patch-Deployment in vielen Organisationen – ein Fenster, das Angreifer aktiv ausnutzen.

Die US-Cybersecurity and Infrastructure Security Agency (CISA) hat CVE-2026-34197 in ihren Katalog der bekannt ausgebeuteten Sicherheitslücken (KEV) aufgenommen und fordert von allen bundesbehördlichen Stellen, den Patch bis 30. April einzuspielen. Dies ist ein weiteres Zeichen für die ernsthafte Bedrohungslage.

Für deutsche Unternehmen und Behörden, die ActiveMQ einsetzen, lautet die klare Handlungsempfehlung: Sofort eine Bestandsaufnahme durchführen, welche Systeme betroffen sind, und umgehend auf die patchierten Versionen upgraden. Falls ein zeitnaher Patch nicht möglich ist, sollten Standard-Passwörter unverzüglich geändert und der Zugriff auf die Jolokia-API durch Netzwerksegmentierung oder Firewalls eingeschränkt werden. Angesichts der bereits dokumentierten Ausnutzung ist Eile geboten.

Ähnliche Artikel