Das Wichtigste in 30 Sekunden
- CVE-2026-57967 in Apache ActiveMQ Artemis hat einen CVSS-Wert von 9,8 — höher geht es kaum noch.
- Ein Angreifer ohne jeden Zugang schickt ein präpariertes Paket und erbt die Sitzung eines angemeldeten Nutzers.
- Betroffen sind Apache Artemis 2.50.0 bis 2.56.0 sowie ActiveMQ Artemis 1.0.0 bis 2.44.0.
- Die Korrektur steckt in Version 2.57.0. Wer nicht sofort updaten kann, nimmt den Broker vom offenen Netz.
Ein Nachrichten-Broker ist das unscheinbarste Stück Software im ganzen Homelab. Er steht im Hintergrund, schiebt Meldungen zwischen Programmen hin und her und fällt nur auf, wenn er ausfällt. Genau dieser stille Dienst hat jetzt ein Loch, durch das ein Fremder spazieren kann — ohne Passwort, ohne Benutzernamen, ohne Umweg.
SCHOCK: Der Angreifer braucht überhaupt keine Anmeldung
Am 10. September wurde CVE-2026-57967 veröffentlicht. Die Einstufung: CVSS 9,8, Fehlerklasse CWE-306 — „fehlende Authentifizierung bei einer kritischen Funktion“. Auf Deutsch: An einer Stelle, an der die Software eigentlich nachfragen müsste „wer bist du eigentlich?“, fragt sie schlicht nicht.
Das Ergebnis ist unangenehm direkt. Ein Angreifer aus dem Netz übernimmt eine bereits angemeldete Sitzung und bekommt in derselben Sekunde alle Rechte, die der echte Nutzer hatte. Kein Passwortraten, kein Brute-Force, kein Warten.
So funktioniert der Trick
Artemis bringt ein eigenes Protokoll mit, das schlicht CORE heißt. Damit sprechen die hauseigenen Clients mit dem Broker, standardmäßig über den Acceptor auf Port 61616.
In diesem Protokoll gibt es ein Paket namens SESSION_REATTACH. Es ist eigentlich eine Bequemlichkeitsfunktion: Reißt eine Verbindung kurz ab, klinkt sich der Client wieder in seine alte Sitzung ein, statt alles von vorn aufzubauen. Sinnvoll — solange geprüft wird, ob der Anfragende auch wirklich der ursprüngliche Besitzer ist.
Genau diese Prüfung fehlt. Wer eine gültige Sitzungskennung kennt oder errät, schickt ein solches Paket, behauptet „die Sitzung gehört mir“ — und der Broker glaubt es. Ab da läuft die laufende Sitzung inklusive aller Berechtigungen unter fremder Kontrolle. Der eigentliche Nutzer merkt davon erst einmal gar nichts.
GEFAHR! Diese Versionen musst du prüfen
Die Angaben im Advisory sind etwas verwirrend, weil das Projekt im Lauf der Jahre umbenannt wurde. Betroffen sind laut Veröffentlichung:
- Apache Artemis: Version 2.50.0 bis einschließlich 2.56.0
- Apache ActiveMQ Artemis: Version 1.0.0 bis einschließlich 2.44.0
Wichtig für die Einordnung: Das ist nicht der alte ActiveMQ „Classic“, der in vielen Anleitungen herumgeistert. Artemis ist die neuere Codebasis. Wenn du dir unsicher bist, welche Variante bei dir läuft, verrät dir das Startlog beim Hochfahren den vollen Produktnamen samt Version.
Ob die Lücke bereits aktiv ausgenutzt wird, ist bislang nicht öffentlich dokumentiert. Das ist allerdings kein Grund zum Zurücklehnen: Bei einer unauthentifizierten Lücke mit dieser Bewertung ist die Zeitspanne zwischen Veröffentlichung und ersten Scans erfahrungsgemäß kurz.
In 10 MINUTEN abgesichert
1. Version feststellen. Schau in die Startmeldungen deines Brokers oder in den Ordnernamen der Installation. Docker-Nutzer prüfen das Image-Tag — ein latest sagt dir gar nichts, die tatsächliche Version steht im Log.
2. Auf 2.57.0 aktualisieren. Das ist der eigentliche Fix, alles andere sind Notbehelfe.
3. Wenn das Update warten muss: Nimm den CORE-Acceptor vom offenen Netz. Ein Broker, der nur aus dem eigenen Docker-Netz oder über einen VPN-Tunnel erreichbar ist, lässt sich aus dem Internet nicht mehr anspielen. Eine Firewall-Regel auf Port 61616 ist in zwei Minuten gesetzt.
4. Nachsehen, wer reinkam. Schau in den Broker-Logs nach Verbindungen von IP-Adressen, die dort nichts zu suchen haben, und nach auffällig vielen Wiederanmeldungen.
5. Grundsatzfrage stellen. Muss dein Broker überhaupt aus dem Internet erreichbar sein? In den allermeisten Homelab-Aufbauten lautet die ehrliche Antwort: nein.
EXTRA-TIPP: Die Lehre über diesen einen Fehler hinaus
Sitzungswiederaufnahme ist ein Muster, das in vielen Protokollen steckt — und es ist notorisch fehleranfällig. Der Grund ist immer derselbe: Die Funktion soll die Anmeldung abkürzen, muss aber trotzdem prüfen, ob der Abkürzende der Richtige ist. Wer selbst Dienste baut oder konfiguriert, sollte bei jedem „reconnect“, „resume“ oder „reattach“ zweimal hinschauen.
FAZIT: Kurz prüfen, dann ruhig schlafen
Diese Lücke ist unangenehm, aber die Gegenmaßnahme ist banal. Ein Blick ins Log, ein Update auf 2.57.0, notfalls eine Firewall-Regel — und die Sache ist erledigt. Wer keinen Artemis betreibt, kann entspannt weiterlesen. Wer einen betreibt, sollte das heute erledigen und nicht nächste Woche.
Häufige Fragen
Bin ich betroffen, wenn ich ActiveMQ „Classic“ nutze?
Nein. CVE-2026-57967 betrifft die Artemis-Codebasis. ActiveMQ Classic ist ein anderes Produkt mit eigener Advisory-Liste. Ein Blick ins Startlog zeigt dir, welche Variante läuft.
Reicht es, ein Passwort auf dem Broker zu setzen?
Nein. Der Angriff umgeht die Anmeldung vollständig, indem er sich an eine bestehende Sitzung anhängt. Stärkere Passwörter helfen hier nicht.
Wird die Lücke schon ausgenutzt?
Öffentlich dokumentiert ist das bislang nicht. Bei unauthentifizierten Lücken mit CVSS 9,8 solltest du trotzdem so handeln, als wäre es nur eine Frage der Zeit.
Was, wenn ich nicht auf 2.57.0 aktualisieren kann?
Dann nimm den CORE-Acceptor vom öffentlichen Netz: Firewall-Regel auf Port 61616, Zugriff nur aus dem internen Netz oder per VPN. Das ist ein Notbehelf, kein Ersatz für das Update.
Quellen
- CVE-2026-57967 — Eintrag und Bewertung: OpenCVE
- Technische Beschreibung: VulDB
- Tagesübersicht vom 11.09.2026: CVE Brief
- Advisory-Übersicht des Projekts: Apache ActiveMQ Security Advisories