+84903260277

Lỗ hổng 13 năm trong Apache ActiveMQ bị khai thác: CISA đưa vào danh sách khẩn

CVE-2026-34197 , lỗ hổng RCE ẩn 13 năm trong Apache ActiveMQ qua Jolokia API , đã bị khai thác trong thực tế và được CISA đưa vào danh mục KEV bắt buộc vá khẩn cấp. Hàng nghìn doanh nghiệp đang dùng ActiveMQ có nguy cơ bị chiếm quyền toàn bộ máy chủ.
Lỗ hổng CVE-2026-34197 trong Apache ActiveMQ bị khai thác

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa bổ sung CVE-2026-34197 vào danh mục Known Exploited Vulnerabilities (KEV), tức là lỗ hổng đang bị khai thác thực tế và bắt buộc các cơ quan liên bang Mỹ phải vá trong thời hạn quy định. Đây là lỗ hổng Remote Code Execution (RCE) trong Apache ActiveMQ Classic, phần mềm message broker phổ biến trong hệ thống doanh nghiệp, và điều đáng kinh ngạc là nó đã ẩn mình suốt 13 năm mà không ai phát hiện.

Jolokia API, cánh cửa hậu bị bỏ quên 13 năm

Theo nhà nghiên cứu Naveen Sunkavally từ Horizon3.ai, lỗ hổng xuất phát từ Jolokia API, một API quản lý tích hợp sẵn trong ActiveMQ. Kẻ tấn công có thể gửi lệnh quản lý qua Jolokia để đánh lừa broker tải một file cấu hình từ xa do chúng kiểm soát, dẫn đến thực thi lệnh OS tùy ý trên máy chủ.

Mức độ nguy hiểm tăng thêm khi kết hợp với CVE-2024-32114, một lỗ hổng cũ khiến Jolokia API bị lộ ra ngoài không cần xác thực trên các phiên bản ActiveMQ 6.0.0 đến 6.1.1. Hai lỗ hổng kết hợp = unauthenticated RCE: kẻ tấn công không cần tài khoản, chiếm server ngay lập tức.

Đang bị khai thác hàng loạt

Threat intelligence cho thấy các nhóm tấn công đang tích cực quét (scan) tìm endpoint Jolokia bị lộ trên Internet. Apache ActiveMQ được dùng rộng rãi trong môi trường doanh nghiệp để xử lý hàng đợi tin nhắn (message queue), có mặt trong nhiều hệ thống tài chính, logistics, và ứng dụng Java enterprise. Việc máy chủ ActiveMQ bị chiếm có thể dẫn đến:

  • Cài ransomware mã hóa toàn bộ dữ liệu
  • Di chuyển ngang sang các hệ thống nội bộ khác
  • Đánh cắp dữ liệu nhạy cảm trong hàng đợi tin nhắn
  • Cài backdoor duy trì quyền truy cập lâu dài

Hành động cần làm ngay

  1. Cập nhật Apache ActiveMQ lên phiên bản đã vá CVE-2026-34197 ngay lập tức
  2. Kiểm tra xem Jolokia API có bị lộ ra Internet không, chặn truy cập từ bên ngoài vào port quản lý (8161, 61616)
  3. Kiểm tra log tìm dấu hiệu truy cập bất thường vào /api/jolokia
  4. Áp dụng xác thực mạnh cho toàn bộ API quản lý, không để endpoint mở mặc định
  5. Nếu chưa thể vá ngay: cô lập máy chủ ActiveMQ khỏi Internet, chỉ cho phép truy cập nội bộ

 

VNCyberS tổng hợp từ: The Hacker News, Horizon3.ai, CISA KEV Catalog, Vulert, Cập nhật ngày 22/4/2026

Liên hệ với chúng tôi

Email: [email protected]
Điện thoại: +84 903260277

LIÊN HỆ