Exploitation de fond Catalogue KEV

CVE-2026-34197

Apache ActiveMQ Improper Input Validation Vulnerability

Indice de priorité CheckOps

8,3/10 Corriger sous 24 h

Gravité8,8

Probabilité9,8

Exploitation3/5

Gravité = CVSS. Probabilité = EPSS (FIRST). Exploitation = signaux publics : KEV, EUVD, rançongiciel, EPSS au-dessus de 10 %, accès sans compte.

EPSS · aujourd’hui 98,3 % plus haute que 99,9 % des CVE

CVSS 3.1 8,8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:

Exploitée depuis 201 jours 16/04/2026

Échéance CISA 30/04/2026 pour les agences fédérales américaines

Probabilité d’exploitation EPSS · FIRST

Probabilité EPSS (%)Percentile parmi toutes les CVE

Signaux d’exploitation 3 / 5

Catalogue KEV (CISA)16/04/2026
EUVD exploitée (ENISA)16/04/2026
Utilisée par des rançongicielsnon
EPSS au-dessus de 10 %98,3 %
Sans compte, par le réseaunon

Que faire

Corriger

Appliquer le correctif de l’éditeur dès qu’il est disponible.

Consigne de la CISA : Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En attendant

Retirer le service d’internet ou en filtrer l’accès, surveiller les journaux et chercher des traces de compromission.

Éditeurs (CRA)

Faille exploitée dans votre produit : alerte précoce à l’ENISA sous 24 h, puis notification sous 72 h (article 14 du Cyber Resilience Act). Le CRA expliqué

Description ENISA EUVD

Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnerability in Apache ActiveMQ Broker, Apache ActiveMQ. Apache ActiveMQ Classic exposes the Jolokia JMX-HTTP bridge at /api/jolokia/ on the web console. The default Jolokia access policy permits exec operations on all ActiveMQ MBeans (org.apache.activemq:*), including BrokerService.addNetworkConnector(String) and BrokerService.addConnector(String). An authenticated attacker can invoke these operations with a crafted discovery URI that triggers the VM transport's brokerConfig parameter to load a remote Spring XML application context using ResourceXmlApplicationContext. Because Spring's ResourceXmlApplicationContext instantiates all singleton beans before the BrokerService validates the configuration, arbitrary code execution occurs on the broker's JVM through bean factory methods such as Runtime.exec(). This issue affects Apache ActiveMQ Broker: before 5.19.4, from 6.0.0 before 6.2.3; Apache ActiveMQ All: before 5.19.4, from 6.0.0 before 6.2.3; Apache ActiveMQ: before 5.19.4, from 6.0.0 before 6.2.3. Users are recommended to upgrade to version 5.19.4 or 6.2.3, which fixes the issue

Texte de la source, en anglais.

Produits touchés

Apache ActiveMQApache ActiveMQ BrokerApache ActiveMQ AllActiveMQ

Versions touchées

6.0.0 <6.2.3
0 <5.19.4

Faiblesses (CWE)

CWE-20 CWE-94

Paquets open source OSV

Bibliothèques touchées selon OSV, avec les versions corrigées.

Chronologie

07/04/2026
Publication
16/04/2026
Exploitation signalée (ENISA)
16/04/2026
Ajout au catalogue KEV
30/04/2026
Échéance de correction CISA
25/10/2026
EPSS au plus haut : 98,3 %

Références

Autres failles exploitées du même éditeur

CVE-2016-3081Apache Struts Command Injection Vulnerability
8,5 · Montée rapide
CVE-2026-34486Apache Tomcat Missing Encryption of Sensitive Data Vulnerability
8,4 · Exploitation active
CVE-2024-38475Apache HTTP Server Improper Escaping of Output Vulnerability
9,0 · Exploitation de fond
CVE-2025-24813Apache Tomcat Path Equivalence Vulnerability
9,4 · Exploitation de fond
CVE-2024-45195Apache OFBiz Forced Browsing Vulnerability
9,3 · Exploitation de fond
CVE-2024-27348Apache HugeGraph-Server Improper Access Control Vulnerability
9,3 · Exploitation de fond