一、漏洞概要
漏洞名称 | Apache ActiveMQ 远程代码执行漏洞(CVE-2026-40466) |
发布时间 | 2026年4月24日 |
组件名称 | Apache ActiveMQ |
影响范围 | Apache ActiveMQ < 5.19.6 6.0.0 ≤ Apache ActiveMQ< 6.2.5 Apache ActiveMQ Broker < 5.19.6 6.0.0 ≤ Apache ActiveMQ Broker < 6.2.5 Apache ActiveMQ All < 5.19.6 6.0.0 ≤ Apache ActiveMQ All < 6.2.5 |
漏洞类型 | 代码执行 |
利用条件 | 1、用户认证：需要用户认证 2、前置条件：默认配置 3、触发方式：远程 |
综合评价 | <综合评定利用难度>：困难，需要认证。 <综合评定威胁等级>：高危，能造成远程代码执行。 |
官方解决方案 | 已发布 |
二、漏洞分析
2.1 组件介绍
Apache ActiveMQ 是最流行的开源、多协议、基于 Java 的消息代理。它支持行业标准协议，因此用户可以从多种语言和平台的客户端选择中受益。从使用 JavaScript、C、C++、Python、.Net 等编写的客户端进行连接。
2.2 漏洞描述
2026年4月24日，深瞳漏洞实验室监测到一则Apache ActiveMQ组件存在代码执行漏洞的信息，漏洞编号：CVE-2026-40466，漏洞威胁等级：高危。
Apache ActiveMQ Broker、Apache Active MQ All和Apache ActiveMQ中的输入验证不正确、代码生成控制不正确代码注入漏洞。如果ActiveMQ HTTP模块在类路径上，则经过身份验证的攻击者可以通过BrokerView.addNetworkConnector或BrokerView.addConnector通过Jolokia使用HTTP Discovery传输添加连接器，从而绕过CVE-2026-34197中的修复。恶意HTTP端点可以通过HTTP URI返回VM传输，这将绕过CVE-2026-34197中添加的验证。然后，攻击者可以使用VM传输的BrokerConfig参数来使用ResourceXmlApplicationContext加载远程Spring XML应用程序上下文。
三、影响范围
目前受影响的Apache ActiveMQ版本：
Apache ActiveMQ < 5.19.6
6.0.0 ≤ Apache ActiveMQ < 6.2.5
Apache ActiveMQ Broker < 5.19.6
6.0.0 ≤ Apache ActiveMQ Broker < 6.2.5
Apache ActiveMQ All < 5.19.6
6.0.0 ≤ Apache ActiveMQ All < 6.2.5
官方修复建议
官方已发布最新版本修复该漏洞，建议受影响用户将Apache ActiveMQ升级到最新版本。