事件背景与风险态势
近期，Apache ActiveMQ Classic 被曝出存在高危安全漏洞（CVE-2026-34197，CVSS 评分 8.8），该漏洞因被监测到在野利用，已被美国网络安全与基础设施安全局（CISA）紧急纳入已知被利用漏洞（KEV）目录。
从我们的应急响应经验来看，ActiveMQ 作为企业级消息中间件，长期处于业务核心链路，往往承载着关键数据传输任务。一旦此类组件被攻破，攻击者能够轻易实现数据窃取、服务中断甚至横向渗透。此次漏洞的发现再次提醒我们，即使是存在了十余年的“陈年旧账”，一旦被挖掘出利用价值，其破坏力依然惊人。
攻击链分析与手法揭秘
该漏洞的根本原因是输入验证不当，导致攻击者能够注入恶意指令。攻击链路主要依托于 ActiveMQ 的 Jolokia 管理 API。
在实际攻击中，攻击者通过 Jolokia API 调用管理操作，诱导 Broker 获取远程配置文件，从而执行任意操作系统命令。这一环节是很多企业容易忽视的——许多运维人员认为管理接口处于内网或有凭据保护便万无一失，但实际上，攻击者通常会利用默认凭据（如 admin:admin）进行暴力破解。
更严峻的是，在部分版本（6.0.0 至 6.1.1）中，由于受另一漏洞 CVE-2024-32114 的影响，Jolokia API 可能在未经身份验证的情况下暴露，这直接将 CVE-2026-34197 转化为无需凭据的远程代码执行（RCE），极大降低了攻击门槛。
Solar 安全建议与防护策略
类似攻击近年来明显增加，攻击者对于新披露漏洞的响应速度正呈指数级提升，往往在补丁发布后的短时间内即完成武器化。针对此次事件，Solar 应急响应团队建议采取以下措施：
- 立即升级：请受影响用户尽快将 Apache ActiveMQ 升级至 5.19.4 或 6.2.3 版本，这是目前最直接有效的修复方案。
- 排查暴露面：全面梳理企业内部的 ActiveMQ 部署情况，重点检查是否存在对外开放的 Jolokia 管理接口。
- 强化访问控制：若业务无需使用 Jolokia，建议直接禁用该组件；若必须使用，务必将其限制在可信网络范围内，并强制修改所有默认凭据，实施强密码策略。
- 增强监控预警：针对中间件管理接口的访问流量进行深度审计，监控异常的配置获取请求及系统命令执行行为。
在面对此类高频且影响深远的漏洞时，被动等待往往会错失防御良机。企业应建立起“资产-漏洞-暴露面”的全生命周期管理闭环，将安全防御前置于业务上线之前。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com