Apache ActiveMQ Classic の Jolokia 経由コード実行（KEV・実際に悪用／CVSS 8.8）

High（CVSS 8.8）に分類されるApache Software Foundation Apache ActiveMQ Classic 5.19.4 未満 / 6.0.0〜6.2.3の脆弱性です。メッセージキューの Apache ActiveMQ Classic は、Web コンソール上に Jolokia という JMX-HTTP ブリッジを `/api/jolokia/` で公開している。Jolokia は JMX（Java の管理インターフェース）の操作を HTTP から呼べるようにするもので、本来は運用管理のための機能である。 この欠陥は、その管理操作の一つに渡す discovery URI の検証が不十分な点にある。Web コンソールに認証できる攻撃者が細工した URI を渡すと、ブローカーが外部の設定ファイルを取得し、Spring の XML アプリケーションコンテキストとして読み込んでしまう。読み込みの過程で任意のコードが実行され、設定側の検証を迂回できる。結果として、ブローカーのプロセス権限で任意の OS コマンドを実行される。 NVD の CVSS 3.1 基本値は 8.8（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）で、必要な権限は Low、利用者の操作は不要である。CISA は 2026年4月16日に KEV カタログへ追加し、是正期限を 2026年4月30日としている。つまり公開直後から実際の攻撃が確認されている。 影響を受けるのは 5.19.4 未満、および 6.0.0 から 6.2.3 までの系列である。修正版は 5.19.4 および 6.2.3 以降。

まず自組織で ActiveMQ Classic を運用しているか、そのバージョンが対象かを切り分ける。対象なら 5.19.4 または 6.2.3 以降へ更新する。KEV 収載済みで是正期限も既に過ぎているため、更新は最優先で扱う。 すぐに更新できない場合の緩和策は二段構えになる。第一に、Web コンソール（既定で 8161/tcp）をインターネットへ公開しない。管理ネットワークからのみ到達できるようにする。第二に、Web コンソールそのものや `/api/jolokia/` エンドポイントを使っていないなら無効化する。この脆弱性は Jolokia の管理操作を入口にするため、入口を塞ぐことが直接の緩和になる。 必要な権限が Low である点に注意する。「認証が要るから安全」とは言えない。既定の認証情報を残している、あるいは低権限のアカウントを広く配っている環境では、実質的に未認証に近い。認証情報の棚卸しも同時に行う。 すでに到達可能な状態でインターネットに公開していた期間がある場合、パッチ適用は「これ以上入られないための措置」であって侵害調査の代わりにはならない。ブローカープロセスからの想定外の外部接続、見覚えのない設定読み込み、Jolokia へのアクセスログを確認する。

Apache Software Foundation Apache ActiveMQ Classic 5.19.4 未満 / 6.0.0〜6.2.3 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-34197）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/04/30 です。推奨される対応: ベンダーの指示に従って緩和策を適用する。CISA のパッチ適用指針に従い、緩和策が無い場合は製品の使用を停止する。