Przez konsolę webową Apache ActiveMQ zalogowany użytkownik może uruchomić dowolny kod na serwerze. CISA potwierdza ataki. Zaktualizuj broker do 5.19.4 lub 6.2.3 i odetnij konsolę od sieci ogólnej.
Ten alert jest dla zarządu, CTO i CFO firm, w których sklep, magazyn, system kurierski lub księgowość wymieniają dane przez broker wiadomości Apache ActiveMQ, często wdrożony lata temu przez integratora. Werdykt: jeśli ActiveMQ działa w wersji starszej niż 5.19.4 lub 6.2.3, zaktualizuj go dziś i odetnij konsolę webową od sieci ogólnej, bo luka jest aktywnie wykorzystywana.
Amerykańska agencja CISA 16 kwietnia 2026 roku dopisała CVE-2026-34197 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy konsoli webowej brokera Apache ActiveMQ Classic. Zalogowany użytkownik konsoli może przez wbudowany mostek Jolokia zmusić serwer do pobrania z zewnątrz pliku konfiguracyjnego, a to prowadzi do wykonania dowolnego kodu na serwerze.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 30 kwietnia 2026 roku, ponad cztery i pół miesiąca temu. Poprawki są dostępne od końca marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-34197 |
Data dodania do CISA KEV | 2026-04-16 |
Termin naprawy wg CISA | 2026-04-30 (14 dni od wpisu) |
Produkt | Apache ActiveMQ Classic (pakiety activemq-broker i activemq-all), konsola webowa z mostkiem Jolokia |
Wersje zagrożone | Wszystkie wydania poniżej 5.19.4 oraz od 6.0.0 do wersji niższych niż 6.2.3. Atak wymaga dostępu do konsoli webowej (konta), a domyślna polityka Jolokia pozwala każdemu zalogowanemu wywołać podatne operacje |
Wersje bezpieczne | 5.19.4 (wydana 31 marca 2026) i 6.2.3 (wydana 30 marca 2026) oraz nowsze |
Typ podatności | Niewłaściwa walidacja danych wejściowych prowadząca do wstrzyknięcia kodu; CWE-20 i CWE-94 (Red Hat klasyfikuje jako wstrzyknięcie polecenia systemowego) |
Ocena CVSS | 8.8/10 WYSOKA (CVSS 3.1, wg CISA i Red Hat); NVD nie wystawiło własnej oceny. Fundacja Apache określa wagę jako „important” |
Broker wiadomości działa jak dawna centrala telefoniczna: sam nie rozmawia z klientem, ale łączy sklep z magazynem, magazyn z kurierem, a płatności z księgowością. Gdy któryś system chwilowo nie odpowiada, centrala przechowuje wiadomość i przekazuje ją później. Dlatego nikt o nim nie pamięta, dopóki działa.
Teraz wyobraź sobie, że pracownik z przepustką do pomieszczenia centrali (zalogowany użytkownik konsoli) może podać telefonistce kartkę z adresem „instrukcji obsługi” leżącej gdziekolwiek w mieście. Telefonistka jedzie po nią i wykonuje wszystko, co w niej napisano, zanim sprawdzi, czy instrukcja ma sens. Tak działała luka: konsola przyjmowała adres zewnętrznej konfiguracji, a serwer ją pobierał i uruchamiał opisane w niej elementy, w tym polecenia systemowe.
💡 Broker wiadomości to program pośredniczący w wymianie danych między systemami. Jolokia to mostek, który pozwala zarządzać wnętrzem serwera przez zwykłe żądania z przeglądarki (adres kończący się na api/jolokia). Uwierzytelnienie odpowiada na pytanie „kim jesteś”, a autoryzacja na pytanie „co wolno ci zrobić”; tutaj zawiodła ta druga. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Integrator zagląda do kolejki wiadomości | Podgląd kolejek i statystyk | Ten sam login pozwala uruchomić dowolny program na serwerze |
Zapomniane konto z czasów wdrożenia | Martwe, ale nieszkodliwe | Równoważne pełnemu dostępowi do serwera |
Zamówienia przechodzące przez broker | Trafiają do magazynu i kuriera | Napastnik może je odczytać lub zatrzymać przepływ |
Położenie brokera w sieci | Wewnątrz, obok systemu magazynowego i bazy zamówień | Napastnik jest od razu wewnątrz sieci firmy |
Starsze instalacje 6.x z domyślną konfiguracją | Konsola chroniona hasłem | Według analizy źródłowej osobna, wcześniejsza luka mogła pozwalać na użycie mostka bez logowania |
źródło: Pexels, Pedro SilvaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka wymaga zalogowania do konsoli, więc napastnik musi najpierw zdobyć dane logowania: ze starych dokumentów wdrożeniowych, z wycieku, przez odgadnięcie słabego hasła albo wykorzystując konsolę pozostawioną bez ochrony.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie konsol ActiveMQ dostępnych z internetu lub z przejętej sieci | Lista brokerów |
2. Zdobycie dostępu do konsoli | T+minuty do dni | Próby logowania słabymi lub zapisanymi hasłami, wykorzystanie konsol bez ochrony | Zalogowana sesja w konsoli |
3. Wykonanie kodu | T+kilka minut po zalogowaniu | Wywołanie przez Jolokia operacji dodania połączenia z adresem wskazującym zewnętrzną konfigurację | Własny program uruchomiony na serwerze brokera |
4. Utrwalenie | T+godziny | Instalacja ukrytego dostępu, rozpoznanie sąsiednich systemów | Stały przyczółek w sieci firmy |
5. Kradzież lub sabotaż | T+dni | Odczyt przechodzących zamówień i danych klientów, zatrzymanie przepływu wiadomości, przygotowanie szyfrowania | Wyciek danych, stojąca logistyka |
Broker jest niewidoczny: nie ma go na fakturach za licencje ani w spisie aplikacji, bo jest darmowy i pracownicy się do niego nie logują. Jednocześnie łączy kluczowe systemy. Wymóg zalogowania ogranicza krąg napastników, ale w praktyce konta w takich panelach bywają zakładane szybko i nigdy nie usuwane.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymany przepływ zamówień między sklepem, magazynem, kurierem i księgowością | Godziny | 20 tys. do 200 tys. PLN (przestój sprzedaży i wysyłek) |
Bezpieczeństwo danych | Odczyt zamówień, adresów i danych płatności przechodzących przez broker | Dni | 30 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utracone zamówienia, kary umowne za opóźnienia, koszty zewnętrznych specjalistów | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Opóźnione dostawy, reklamacje, utrata zaufania klientów i partnerów | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: ActiveMQ bez poprawki
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE (konsola dostępna, słabe hasła)
3 | . . ● . . ● konsola tylko dla administratora
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest wysokie, bo luka daje wykonanie kodu i jest wykorzystywana, ale nie maksymalne, bo wymaga dostępu do konsoli; firma z konsolą dostępną szeroko w sieci i starymi kontami powinna traktować je jak krytyczne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w firmie (także u integratora lub w usługach zewnętrznych) działa Apache ActiveMQ i w jakiej wersji | Dziś | Kierownik IT / integrator |
2 | 🔴 NATYCHMIAST | Zablokować dostęp do konsoli webowej z internetu i ograniczyć ją do adresu administratora | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować broker do 5.19.4 lub 6.2.3 (albo nowszej) | Dziś lub w najbliższym oknie serwisowym | Administrator / integrator |
4 | 🟠 PILNIE | Przejrzeć konta w konsoli, usunąć te bez wskazanego właściciela, zmienić pozostałe hasła | Do 2 dni | Administrator |
5 | 🟠 PILNIE | Przejrzeć logi brokera i serwera od końca marca 2026 roku pod kątem nietypowych połączeń i uruchomionych procesów | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Dopisać broker i inne systemy pośredniczące do spisu oprogramowania z właścicielem i planem aktualizacji | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Poprosić dostawców oprogramowania z wbudowanym ActiveMQ o pisemne stanowisko wobec CVE-2026-34197 z uzasadnieniem | Do 30 dni | CTO |
Fundacja Apache wydała poprawki (5.19.4 i 6.2.3), więc docelowo trzeba je wgrać. Red Hat zaznacza, że nie zna sposobu złagodzenia problemu bez aktualizacji; poniższe miary jedynie ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie konsoli webowej od internetu i sieci ogólnej, dostęp tylko z adresu administratora | Wysoka wobec napastników z zewnątrz | Łatwa |
Wyłączenie konsoli webowej, jeśli nie jest używana | Wysoka: usuwa drogę ataku | Łatwa do średniej, zależnie od sposobu obsługi brokera |
Usunięcie zbędnych kont i zmiana haseł do konsoli | Średnia: zawęża krąg osób mogących wykorzystać lukę | Łatwa |
Blokada połączeń wychodzących z serwera brokera do internetu | Średnia: utrudnia pobranie zewnętrznej konfiguracji | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o brokerze | Nikt nie pamięta, że istnieje | Broker w spisie, z właścicielem i wersją |
Konsola webowa | Dostępna szeroko, konta z czasów wdrożenia | Dostępna tylko dla administratora, zbędne konta usunięte |
Luka CVE-2026-34197 | Zalogowany użytkownik może uruchomić kod | Zamknięta w wersji 5.19.4 lub 6.2.3 |
Wykrywanie incydentów | Brak przeglądu logów | Logi przejrzane od marca 2026 roku |
Zgodność z terminem CISA | Ponad 4,5 miesiąca zaległości | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, CISA i Red Hat); NVD bez własnej oceny |
PoC dostępny publicznie? | Brak publicznych informacji; mechanizm został szczegółowo opisany w komunikacie producenta |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Naveen Sunkavally, Horizon3.ai |
Historia produktu w KEV | To trzecia luka Apache ActiveMQ w katalogu KEV, po jednej z 2016 i jednej z 2023 roku (wg analizy źródłowej) |
Prognoza EPSS | Około 97% szansy próby wykorzystania w ciągu 30 dni, górne 0,1% wszystkich luk (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-34197
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~97% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Wymaga logowania TAK ██████████░░░░░░░░░░ ogranicza krąg napastników
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-03-30 Wydanie ActiveMQ 6.2.3 z poprawką
2026-03-31 Wydanie ActiveMQ 5.19.4 z poprawką
2026-04-07 Publikacja opisu CVE-2026-34197
2026-04-16 CISA dodaje lukę do katalogu KEV
2026-04-30 Termin naprawy wg CISA dla agencji federalnych
... ponad 4,5 miesiąca od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat Apache ActiveMQ: activemq.apache.org, CVE-2026-34197 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-34197 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać integratora i dział IT, czy w firmie działa Apache ActiveMQ, gdzie i w jakiej wersji | CTO | DZISIAJ |
2 | Potwierdzić, że konsola webowa brokera nie jest dostępna z internetu | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację brokera, nawet kosztem krótkiej przerwy w integracjach | CTO | DZISIAJ |
4 | Zlecić przegląd kont w konsoli i logów od marca 2026 roku | CTO | DO JUTRA |
5 | Sprawdzić, czy umowa z integratorem obejmuje aktualizacje bezpieczeństwa komponentów takich jak broker | CFO | DO JUTRA |
6 | Zarezerwować budżet na aktualizację i ewentualną analizę powłamaniową | CFO | DO JUTRA |
7 | Oszacować koszt jednego dnia zatrzymania przepływu zamówień, aby ustalić priorytet | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy w naszej infrastrukturze lub u dostawców działa Apache ActiveMQ Classic? | TAK / NIE | 🔴 |
2 | Jaka jest wersja każdego brokera? | [wersja] | 🔴 |
3 | Czy konsola webowa (w tym adres api/jolokia) jest dostępna z internetu lub z całej sieci firmowej? | TAK / NIE | 🔴 |
4 | Kiedy zaktualizowano broker do 5.19.4 lub 6.2.3? | [data] | 🔴 |
5 | Ile kont ma konsola i czy każde ma wskazanego właściciela? | [liczba kont], TAK / NIE | 🟠 |
6 | Czy przejrzano logi brokera i serwera od 30 marca 2026 roku? | TAK / NIE, [data] | 🟠 |
7 | Czy serwer brokera może łączyć się z dowolnym adresem w internecie? | TAK / NIE | 🟡 |
CVE-2026-34197 pozwala zalogowanemu użytkownikowi konsoli Apache ActiveMQ uruchomić dowolny kod na serwerze brokera, który zwykle stoi w środku sieci i łączy kluczowe systemy. CISA potwierdza ataki, poprawki 5.19.4 i 6.2.3 są dostępne od marca 2026 roku, więc ustalenie, gdzie działa broker, aktualizacja i odcięcie konsoli to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Google i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.