Server in Gefahr: ActiveMQ-Lücke wird aktiv ausgenutzt
Eine 13 Jahre lang unentdeckte Sicherheitslücke in Apache ActiveMQ ermöglicht Angreifern, auf fremden Servern beliebige Befehle auszuführen – und wird bereits aktiv ausgenutzt. Über 6400 verwundbare Systeme sind weltweit offen im Netz erreichbar. Aufgespürt hat die Lücke ausgerechnet ein KI-Assistent: Claude brauchte dafür gerade einmal zehn Minuten.
Über 6400 Apache-ActiveMQ-Server weltweit sind aktuell einer aktiv ausgenutzten Sicherheitslücke schutzlos ausgesetzt, wie das Security-Portal Bleeping Computer meldet. Die Schwachstelle mit der Kennung CVE-2026-34197 ermöglicht es Angreifern, auf betroffenen Systemen beliebigen Code auszuführen – und das, obwohl der Fehler seit 13 Jahren im Quellcode schlummerte. Entdeckt hat ihn der Sicherheitsforscher Naveen Sunkavally von Horizon3 mit dem KI-Assistenten Claude, der die Lücke in rund zehn Minuten aufspürte.
Beliebige OS-Befehle ausführbar
Die Sicherheitslücke steckt in Apache ActiveMQ Classic, einem weit verbreiteten Open-Source-Message-Broker für Java-Anwendungen. Technisch ausgedrückt handelt es sich um eine fehlerhafte Eingabevalidierung: Über die Jolokia-API des Brokers lässt sich die Management-Operation "addNetworkConnector" aufrufen, die den Broker dazu bringt, eine externe Konfigurationsdatei zu laden und dabei beliebige Betriebssystembefehle auszuführen.
Für den Angriff werden zwar grundsätzlich Zugangsdaten benötigt – doch viele Installationen laufen noch immer mit den Standarddaten "admin:admin". Auf den Versionen 6.0.0 bis 6.1.1 ist dank einer weiteren Lücke (CVE-2024-32114) nicht einmal das nötig: Dort ist die Jolokia-Schnittstelle vollständig ohne Authentifizierung erreichbar, womit CVE-2026-34197 dort zu einer ungepatchten Remote-Code-Execution ohne jede Zugangshürde wird.
Tausende angreifbare Server im Netz
Die Bedrohungslage ist konkret: Die Nonprofit-Organisation Shadowserver registrierte mehr als 6.400 IP-Adressen mit verwundbaren ActiveMQ-Fingerprints, die offen im Netz erreichbar sind. Den größten Anteil tragen Systeme in Asien (2.925), gefolgt von Nordamerika (1.409) und Europa (1.334).
Die US-Behörde CISA hat die Lücke mittlerweile in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen und Bundesbehörden angewiesen, ihre Server bis zum 30. April zu sichern. Wer nicht patchen kann, soll das Produkt abschalten. Auch zwei frühere ActiveMQ-Lücken – CVE-2016-3088 und CVE-2023-46604 – stehen bereits auf dieser Liste; letztere wurde von der Ransomware-Gruppe TellYouThePass als Zero-Day missbraucht.
Apache hat die Schwachstelle am 30. März in den Versionen 5.19.4 und 6.2.3 von ActiveMQ Classic geschlossen. Konkret entfernte der Patch die Möglichkeit, über "addNetworkConnector" VM-Transporte hinzuzufügen - eine Funktion, die laut Horizon3 nie als Remote-Operation hätte verfügbar sein sollen.
Administratoren, die noch nicht gepatcht haben, sollten außerdem die Broker-Logs auf verdächtige Verbindungsversuche prüfen: Einträge mit "vm://"-URIs und dem Parameter "brokerConfig=xbean:http" gelten als klare Warnsignale für laufende Angriffsversuche und treten im normalen Betrieb nicht auf.
In 10 Minuten dank KI gefunden
Der Fall wirft auch ein Schlaglicht auf den Wandel in der Sicherheitsforschung. Sunkavally betont, dass die Entdeckung ohne KI-Unterstützung wohl eine ganze Woche gedauert hätte – Claude bewältigte die Analyse in zehn Minuten. Er empfiehlt Sicherheitsteams und Entwicklern ausdrücklich, solche Werkzeuge für die Schwachstellensuche zu nutzen.
Das Beispiel zeige, wie gefährlich Kombinationen aus eigentlich harmlosen Einzelfunktionen sein können – in diesem Fall das Zusammenspiel von Jolokia, JMX, Netzwerk-Connectoren und VM-Transport, die jede für sich korrekt arbeiten, zusammen aber einen kritischen Angriffspfad öffnen.