2026-04-26 04:49:17 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： ApacheActiveMQ存在高危远程代码执行漏洞CVE-2026-40466，该漏洞是CVE-2026-34197补丁的绕过。当环境中存在activemq-http模块时，攻击者可通过JolokiaAPI添加恶意连接器，利用SpringXML配置文件在目标JVM上执行任意命令。影响版本包括5.19.6以下和6.0.0-6.2.5之间的ActiveMQ。建议立即升级至5.19.6或6.2.5以上版本。 综合评分： 87 文章分类： 漏洞预警,漏洞分析,解决方案,应急响应,WEB安全

cover_image

【已复现】漏洞通告 | Apache ActiveMQ 远程代码执行漏洞(CVE-2026-40466)

安全实验室安全实验室

中成信息

2026年4月24日 18:14 福建

在小说阅读器读本章

去阅读

漏洞描述

Apache ActiveMQ 远程代码执行漏洞（CVE-2026-40466）是 CVE-2026-34197 安全补丁的绕过。当目标环境的类路径中存在 activemq-http 模块时，已认证的攻击者可通过 Jolokia API 添加采用 HTTP Discovery 传输机制的恶意网络连接器。攻击者控制的 HTTP 端点返回 VM 传输 URI 以规避安全验证，进而利用 Spring 的 ResourceXmlApplicationContext 加载远程恶意 XML 配置文件，最终在目标 JVM 上执行任意代码。

影响范围

Apache ActiveMQ Broker (activemq-broker) < 5.19.6

6.0.0 <= Apache ActiveMQ Broker (activemq-broker) < 6.2.5

Apache ActiveMQ All(activemq-all) < 5.19.6

6.0.0 <= Apache ActiveMQ All(activemq-all) < 6.2.5

Apache ActiveMQ(apache-activemq) < 5.19.6

6.0.0 <= Apache ActiveMQ(apache-activemq) < 6.2.5

漏洞详情

漏洞复现

中成信息安全实验室已复现Apache ActiveMQ 远程代码执行漏洞，验证如下。

修复建议

官方已发布安全版本，建议受影响用户建议立即升级至

Apache ActiveMQ >=5.19.6

Apache ActiveMQ >= 6.2.5

下载地址：

https://activemq.apache.org/download.html

关于我们

漳州中成信息科技有限公司是一家专注于网络安全实战防护的创新型服务提供商。我们深刻理解网络安全的核心在于攻防对抗的持续较量，并以此独特视角为基石，致力于为客户构建动态、主动、智能化的纵深防御体系。区别于传统的被动防御，我们坚信“未知攻，焉知防”。公司汇聚了顶尖的渗透测试专家（红队）、应急处置精英（蓝队）及经验丰富的安全服务工程师，形成了一支具备完整攻防对抗能力的专业团队。我们的渗透测试团队模拟真实攻击者的思维与手段，深入挖掘系统、应用及网络中的深层次漏洞与风险点；应急处置团队则能在安全事件发生时快速响应、精准定位、有效遏制损失并溯源根因；安服工程师团队则致力于将攻防对抗中获得的宝贵经验转化为常态化的安全策略、加固措施与运营流程。

点击名片

关注我们

扫描官网二维码

了解更多

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：中成信息安全实验室安全实验室《【已复现】漏洞通告 | Apache ActiveMQ 远程代码执行漏洞(CVE-2026-40466)》