Apache ActiveMQ のコードインジェクションの脆弱性（CVE-2026-34197）

何が起きた

メッセージをやり取りするためのソフト Apache ActiveMQ に、入力の確認が不十分なために、攻撃者が用意したコードを実行されてしまう弱点が見つかり、実際に悪用が確認されています。Web の管理画面にある Jolokia という仕組みを通して、細工した設定を外部から読み込ませると、ActiveMQ が動いている Java の環境の上で任意のコード（攻撃者が好きに選べる命令）が実行されます。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ（ログイン済みの）攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache ActiveMQ（Apache ActiveMQ Broker、Apache ActiveMQ All を含む）を使っている組織が影響を受けます。影響を受けるのは 5.19.4 より前のバージョンと、6.0.0 以上 6.2.3 より前のバージョンです。

何をすればいい

Apache の案内では、5.19.4 または 6.2.3 に更新することが勧められています。使っている ActiveMQ が 5.19.4 以降、または 6.2.3 以降に更新されているか確認してください。公式の案内を確認し、手順に従って対策してください。

やることチェックリスト

• ActiveMQ 5 系は 5.19.4 以降に更新する
• ActiveMQ 6 系は 6.2.3 以降に更新する
• ActiveMQ の今のバージョンを確かめる

用語メモ

Apache ActiveMQ

システムどうしがメッセージを受け渡すときに、間に立って中継するソフトです。

Jolokia

Java で動くソフトの管理機能を、Web（HTTP）経由で操作できるようにする仕組みです。

Java

多くの業務用ソフトで使われているプログラミング言語と、その実行環境です。