Mittel26 / 100Konfidenz: Mittel

CVSS8.8EPSS1 %Über Netz erreichbarOhne Zutun des Nutzers

Umgehend auf Apache ActiveMQ Version 5.19.7 oder 6.2.6 aktualisieren oder entsprechende Patches von Red Hat anwenden.

▸Herleitung der Bewertung(2)

Wie der Wert zustande kommt

Hoechster CVSS-Basiswert 8.8+16
Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-42253, CVSS-Vektor AV:N/PR:N)+10

Woraus sich die Konfidenz ergibt

Nur ein Herausgeber — keine Gegenlesung
Darunter eine behoerdliche Primaerquelle
Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Einschränkungen

Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.

Bewertung v1.1, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-09-11 11:07 UTCMethodik

Red Team

[UPDATE] [hoch] Apache ActiveMQ: Mehrere Schwachstellen

CERT-Bund·11. September 2026, 11:07

Originalartikel lesen bei CERT-Bund

Mehrere hochkritische Schwachstellen in Apache ActiveMQ ermöglichen Angreifern Cross-Site Scripting, Informationslecks, Rechteausweitung, Datenmanipulation und Codeausführung. Betroffen sind Apache ActiveMQ Versionen unter 5.19.7 und 6.2.6 sowie Red Hat Enterprise Linux. Nutzer sollten umgehend auf die gepatchten Versionen 5.19.7 oder 6.2.6 aktualisieren, um diese Risiken zu mindern.

SecBoard-Einordnung

Diese Schwachstellen ermöglichen Angreifern weitreichende Kontrolle über betroffene Systeme, einschließlich der Ausführung von beliebigem Code und der Manipulation von Daten, was zu erheblichen Betriebsunterbrechungen und Datenverlust führen kann.

Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer die vollständige Kontrolle über die betroffenen Apache ActiveMQ-Instanzen erlangen, sensible Daten exfiltrieren, Systeme manipulieren oder für weitere Angriffe auf die Infrastruktur nutzen.

Im erfassten Bestand

▸CVE-2026-42588 kommt damit in 3 erfassten Meldungen der letzten 90 Tage vor.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

CVE-2026-45505

CVSS: 8.8 · HIGH
EPSS: 0.6%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 5.19.7

CVE-2026-49157

CVSS: 8.8 · HIGH
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität, Verfügbarkeit
Patch: 5.19.7

CVE-2026-42588

CVSS: 8.1 · HIGH
EPSS: 0.7%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 5.19.7

CVE-2026-42253

CVSS: 6.1 · MEDIUM
EPSS: 1.1%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: ja
Angriffskomplexität: niedrig
Beeinträchtigt: Vertraulichkeit, Integrität
Patch: 5.19.7

CVE-2026-49270

CVSS: 5.9 · MEDIUM
EPSS: 0.4%
Über das Netz: ja
Anmeldung nötig: nein
Nutzerinteraktion nötig: nein
Angriffskomplexität: hoch
Beeinträchtigt: Vertraulichkeit
Patch: 5.19.7

CVE-2026-46605

CVSS: 4.3 · MEDIUM
EPSS: 0.3%
Über das Netz: ja
Anmeldung nötig: ja
Nutzerinteraktion nötig: nein
Angriffskomplexität: niedrig
Beeinträchtigt: Verfügbarkeit
Patch: 5.19.7

Betroffen

Organisationen, die Apache ActiveMQ Versionen unter 5.19.7 und 6.2.6 einsetzen, sowie Nutzer von Red Hat Enterprise Linux, sind betroffen. Dies umfasst Systeme auf Linux, UNIX und Windows.

Prüfen

▸Überprüfen Sie alle Apache ActiveMQ-Installationen auf die aktuell installierte Version und stellen Sie sicher, dass diese 5.19.7 oder höher bzw. 6.2.6 oder höher ist.
▸Prüfen Sie, ob Red Hat Enterprise Linux-Systeme die neuesten Sicherheitsupdates und Patches für Apache ActiveMQ erhalten haben.

▸ 1 weitere

▸Scannen Sie Ihre Systeme auf Anzeichen von Kompromittierung, falls ein sofortiges Update nicht möglich ist, insbesondere auf ungewöhnliche Aktivitäten im Zusammenhang mit ActiveMQ-Diensten.

Offene Punkte

▸ anzeigen

▸Es ist nicht spezifiziert, welche spezifischen CVEs diesen Schwachstellen zugrunde liegen.
▸Der genaue Angriffsvektor für jede der genannten Schwachstellen (z.B. ob Authentifizierung erforderlich ist) ist nicht detailliert.
▸Es wird nicht angegeben, ob diese Schwachstellen aktiv ausgenutzt werden (in-the-wild).

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Ja
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Ja
Detection / Logging prüfbar?Ja
Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

Haben wir Windows extern erreichbar?

MITRE ATT&CK(5)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1059Command and Scripting Interpreterzugeordnet

„Codeausführung“

T1068Exploitation for Privilege Escalationzugeordnet

„Rechteausweitung“

T1490Inhibit System Recoveryzugeordnet

„Datenmanipulation“

T1499Endpoint Denial of Servicezugeordnet

„Cross-Site Scripting (kann zu DoS führen)“

T1530Data from Cloud Storagezugeordnet

„Informationslecks“

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[UPDATE] [hoch] Apache ActiveMQ: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-45505 CVE-2026-49157 CVE-2026-42588 CVE-2026-42253 CVE-2026-49270 CVE-2026-46605

Themen

hoch

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (6)

CVE-2026-45505HIGH(8.8)

EPSS 0.6%

Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnerability in Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ. Non-parenthesized discovery wrappers such as `masterslave:vm://...,...` and `static:vm://...` incorrectly pass validation allowing bypass of fix in CVE-2026-34197. Original description from CVE-2026-34197. Apache ActiveMQ exposes the Jolokia JMX-HTTP bridge at /api/jolokia/ on the web console. The default Jolokia access policy permits exec operations on all ActiveMQ MBeans (org.apache.activemq:*), including BrokerService.addNetworkConnector(String) and BrokerService.addConnector(String). An authenticated attacker can invoke these operations with a crafted discovery UR that triggers the VM transport's brokerConfig parameter to load a remote Spring XML application context using ResourceXmlApplicationContext. Because Spring's ResourceXmlApplicationContext instantiates all singleton beans before the BrokerService validates the configuration, arbitrary code execution occurs on the broker's JVM through bean factory methods such as Runtime.exec(). This issue affects Apache ActiveMQ Broker: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ All: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ: before 5.19.7, from 6.0.0 before 6.2.6. Users are recommended to upgrade to version 5.19.7 or 6.2.6, which fixes the issue.

Details NVD

CVE-2026-49157HIGH(8.8)

EPSS 0.4%

Incorrect Default Permissions vulnerability in Apache ActiveMQ. This issue affects Apache ActiveMQ: before 5.19.7, from 6.0.0 before 6.2.6. The default Jolokia authorization settings granted non-admin (low-privilege) web-login accounts access to Jolokia operations which allowed executing broker management operations meant for admins such as addQueue and removeQueue. Users are recommended to upgrade to version 6.2.6 or 5.19.7, which fixes the issue.

Details NVD

CVE-2026-42588HIGH(8.1)

EPSS 0.7%

Improper Input Validation, Improper Control of Generation of Code ('Code Injection') vulnerability in Apache ActiveMQ Broker, Apache ActiveMQ All, Apache ActiveMQ. Apache ActiveMQ Classic exposes the Jolokia JMX-HTTP bridge at /api/jolokia/ on the web console. The default Jolokia access policy permits exec operations on all ActiveMQ MBeans (org.apache.activemq:*), including BrokerService.addNetworkConnector(String). An authenticated attacker can invoke these operations with a crafted discovery URI that triggers the VM transport's brokerConfig parameter using the "masterslave:// " URL which can allow loading a Spring XML application context using ResourceXmlApplicationContext. Because Spring's ResourceXmlApplicationContext instantiates all singleton beans before the BrokerService validates the configuration, arbitrary code execution occurs on the broker's JVM through bean factory methods such as Runtime.exec(). This issue affects Apache ActiveMQ Broker: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ All: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ: before 5.19.7, from 6.0.0 before 6.2.6. Users are recommended to upgrade to version 5.19.7 or 6.2.6, which fixes the issue.

Details NVD

CVE-2026-42253MEDIUM(6.1)

EPSS 1.1%

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Apache ActiveMQ, Apache ActiveMQ Web. The MessageServlet in the ActiveMQ web console API copies every JMS message property into an HTTP response header without any validation. This can allow overwriting and injecting security headers by setting them on JMS messages that are returned by the servlet. This issue affects Apache ActiveMQ: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ Web: before 5.19.7, from 6.0.0 before 6.2.6. Users are recommended to upgrade to version 5.19.7 or 6.2.6, which fixes the issue. The MessageServlet has now been deprecated and disabled by default.

Details NVD

CVE-2026-49270MEDIUM(5.9)

EPSS 0.4%

Exposure of Sensitive Information Through Metadata vulnerability in Apache ActiveMQ Broker, Apache ActiveMQ, Apache ActiveMQ All. Brokers that are configured with a network connector with syncDurableSubs set to true, are vulnerable to an unauthenticated attacker who can receive a list of all durable topic subscriptions in the broker, including client identifiers, subscription names, topic destinations, and JMS selector expressions, by sending a BrokerInfo command. The broker incorrectly responds without first ensuring the connection is authenticated. This issue affects Apache ActiveMQ Broker: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ All: before 5.19.7, from 6.0.0 before 6.2.6. Users are recommended to upgrade to version 6.2.6 or 5.19.7, which fixes the issue.

Details NVD

CVE-2026-46605MEDIUM(4.3)

EPSS 0.3%

Incomplete authorization by Apache ActiveMQ server before versions v6.2.6 and v5.19.7 allows authenticated connections to remove existing destinations with proper permissions. This issue affects Apache ActiveMQ Broker: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ All: before 5.19.7, from 6.0.0 before 6.2.6; Apache ActiveMQ: before 5.19.7, from 6.0.0 before 6.2.6. Users are recommended to upgrade to version v6.2.6 or v5.19.7, which fixes the issue.

Details NVD