Nach den am Montag veröffentlichten Zahlen des Bedrohungsmonitoring-Dienstes Shadowserver weisen mehr als 6.400 öffentlich erreichbare IP-Adressen Fingerabdrücke von Apache ActiveMQ auf und sind für Angriffe über CVE-2026-34197 anfällig. Die meisten davon entfallen auf Asien (2.925), gefolgt von Nordamerika (1.409) und Europa (1.334).
Die Schwachstelle stammt aus einer fehlerhaften Eingabevalidierung. Sie ermöglicht es authentifizierten Akteuren, auf nicht aktualisierten Systemen beliebigen Code auszuführen. Behoben wurde der Fehler von den Apache-Maintainern am 30. März mit den ActiveMQ-Classic-Versionen 6.2.3 und 5.19.4. Aufgespürt hatte ihn Horizon3-Forscher Naveen Sunkavally mithilfe des KI-Assistenten Claude, nachdem die Lücke 13 Jahre lang verborgen geblieben war.
Die US-Cybersicherheitsbehörde CISA warnte am Donnerstag, dass die Schwachstelle nun aktiv in Angriffen ausgenutzt wird, und wies die zivilen Bundesbehörden (Federal Civilian Executive Branch) an, ihre Server bis zum 30. April abzusichern. Diese Art von Schwachstelle sei ein häufiger Angriffsweg für böswillige Cyberakteure und stelle ein erhebliches Risiko für die Bundesverwaltung dar, so die Behörde. Sie empfahl, die Gegenmaßnahmen nach Herstellervorgaben umzusetzen, für Cloud-Dienste die Vorgaben der Richtlinie BOD 22-01 zu befolgen oder das Produkt einzustellen, falls keine Gegenmaßnahmen verfügbar seien.
Administratoren rieten die Horizon3-Forscher, die ActiveMQ-Broker-Protokolle auf Anzeichen einer Ausnutzung zu prüfen. Konkret sei nach verdächtigen Broker-Verbindungen zu suchen, die das interne Transportprotokoll VM sowie den Abfrageparameter brokerConfig=xbean:http:// nutzen. Organisationen, die ActiveMQ betreiben, sollten dies als hohe Priorität behandeln, warnte Horizon3: ActiveMQ sei wiederholt Ziel realer Angreifer gewesen, und die Methoden zur Ausnutzung und Nachverwertung seien gut bekannt.
In den vergangenen Jahren hatte die CISA bereits zwei weitere ActiveMQ-Schwachstellen als aktiv ausgenutzt markiert: CVE-2016-3088 und CVE-2023-46604. Letztere wurde von der Ransomware-Gruppe TellYouThePass als Zero-Day-Lücke angegriffen.