ActiveMQ Jolokia Code-Injection: Schwachstelle Message Broker
Die CISA hat am 16. April 2026 die Schwachstelle CVE-2026-34197 in Apache ActiveMQ in ihren Katalog Known Exploited Vulnerabilities (KEV) aufgenommen(öffnet im neuen Fenster). Eine KEV-Aufnahme bedeutet, dass aktive Angriffe dokumentiert sind. Federal-Civilian-Executive-Branch-Behörden mussten den Patch bis zum 30. April 2026 einspielen.
Die Lücke sitzt in Apache ActiveMQ, dem meistgenutzten Open-Source-Message-Broker im Java-Ökosystem. Der CVSS-Score (Common Vulnerability Scoring System) liegt bei 8.8, eingestuft als High Severity. Fortiguard Labs hat Dutzende Exploitation-Versuche dokumentiert, mit einem klaren Peak am 14. April 2026, also zwei Tage vor der KEV-Aufnahme(öffnet im neuen Fenster). Das Pattern erinnert an CVE-2023-46604, eine andere ActiveMQ-Schwachstelle, die drei Jahre zuvor weltweit ausgenutzt wurde. Es ist ein ähnliches Versäumnismuster, aber eine unterschiedliche Mechanik. Wir erklären, wie der Angriff läuft, wer betroffen ist und wo der Patch liegt.