Apache ActiveMQ远程代码执行漏洞(CVE-2026-40466)安全风险通告

01 漏洞详情

影响组件

Apache ActiveMQ 是一个开源的 Java 消息代理（Message Broker），它作为中间件用于在分布式系统中解耦服务和管理消息队列。

漏洞描述

近日，奇安信CERT监测到官方修复Apache ActiveMQ 远程代码执行漏洞(CVE-2026-40466)，该漏洞是 CVE-2026-34197 安全修复的绕过。当 activemq-http 模块在类路径中时，已认证的攻击者可通过 Jolokia API 添加使用 HTTP Discovery 传输的恶意连接器，由攻击者控制的 HTTP 端点返回 VM 传输 URI 以绕过验证，进而利用 Spring 的 ResourceXmlApplicationContext 加载远程恶意 XML 配置，在目标 JVM 上执行任意代码。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

利用条件

需要低权限。

02 影响范围

影响版本

Apache ActiveMQ Broker (activemq-broker) < 5.19.6

6.0.0 <= Apache ActiveMQ Broker (activemq-broker) < 6.2.5

Apache ActiveMQ All(activemq-all) < 5.19.6

6.0.0 <= Apache ActiveMQ All(activemq-all) < 6.2.5

Apache ActiveMQ(apache-activemq) < 5.19.6

6.0.0 <= Apache ActiveMQ(apache-activemq) < 6.2.5

其他受影响组件

无

03 复现情况

目前，奇安信威胁情报中心安全研究员已成功复现Apache ActiveMQ 远程代码执行漏洞(CVE-2026-40466)，截图如下：

04 受影响资产情况

奇安信鹰图资产测绘平台数据显示，Apache ActiveMQ 远程代码执行漏洞(CVE-2026-40466)关联的国内风险资产总数为5608个，关联IP总数为2532个。国内风险资产分布情况如下：

05 处置建议

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：

Apache ActiveMQ >=5.19.6

Apache ActiveMQ >= 6.2.5

下载地址：

https://activemq.apache.org/download.html

06 参考资料

[1]https://www.openwall.com/lists/oss-security/2026/04/23/4

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。