Apache ActiveMQに、認可（ACL）を回避できる脆弱性と、認証不要のDoS攻撃が可能な脆弱性の2件が2026年7月28日に公表された。いずれも同じバージョン範囲に影響し、修正版は5.19.9、6.2.8、6.3.0。企業のシステム間連携で広く使われるメッセージブローカーであるため、自社環境での使用有無を確認し、速やかな対応が求められる。
- 認可バイパス（CVE-2026-61487）とDoS（CVE-2026-59878）の2件が同時に修正された
- 影響範囲はActiveMQ 5.19.9未満、6.0.0以上6.2.8未満
- 修正版は5.19.9、6.2.8、6.3.0のいずれかへのアップグレードが必要
- AMQPコネクタを公開している場合、DoSは認証不要で悪用可能
何が起きたのか
Apache Software Foundationは2026年7月28日、ActiveMQの複数バージョンに2件の脆弱性を修正したと発表した。JVNDBへの登録は2026年8月6日に行われた。
CVE-2026-59878：AMQP NIOのフレームサイズ検証不備によるDoS
AMQP NIOコネクタにおいて、フレームサイズ値の入力検証が不適切だった。リモートの認証されていない攻撃者が、不正なフレームサイズ値を送信することでNIOスレッドを停止させ、短時間に繰り返すとNIOスレッドプールが枯渇し、他の接続へのサービス拒否（DoS）を引き起こす可能性がある。CVSS v3基本値は7.5（重要）で、攻撃元はネットワーク、認証は不要、可用性への影響が高い。
CVE-2026-61487：一時的な複合宛先を使った認可バイパス
認証された低権限ユーザーが、一時的な複合宛先（temporary composite destination）にメッセージを送信することで、宛先ごとの書き込みACL（アクセス制御リスト）を回避できる。複合宛先が一時的としてマークされているため認可チェックがバイパスされ、リスト内の任意の宛先に対して正しい書き込み権限がなくてもメッセージを送信できる。CVSS v3基本値は6.5（警告）で、完全性への影響が高い。
影響を受ける環境
以下のバージョンが両方の脆弱性の影響を受ける。
| 製品 | 影響を受けるバージョン |
|---|---|
| Apache ActiveMQ | 5.19.9未満、6.0.0以上6.2.8未満 |
| Apache ActiveMQ All | 5.19.9未満、6.0.0以上6.2.8未満 |
| Apache ActiveMQ AMQP（CVE-2026-59878のみ） | 5.19.9未満、6.0.0以上6.2.8未満 |
| Apache ActiveMQ Broker（CVE-2026-61487のみ） | 5.19.9未満、6.0.0以上6.2.8未満 |
修正版は5.19.9、6.2.8、6.3.0。いずれかのバージョンへアップグレードすることが推奨されている。
想定されるリスク
CVE-2026-59878（DoS）は、AMQP NIOコネクタが外部に公開されている場合、認証なしで攻撃可能である。メッセージブローカーが停止すると、連携している基幹システムやWebアプリケーション間の非同期処理が滞り、業務停止に直結する。スレッドやメモリといった資源を枯渇させるタイプのDoSは近年たびたび報告されており、HTTP/2のフロー制御停止によるメモリ枯渇と同様、少ないリクエストでサービス全体を止められる点が厄介だ。
CVE-2026-61487（認可バイパス）は、認証されたユーザーが本来書き込めないキューやトピックにメッセージを送信できる。情報の改ざんや不正な処理トリガーが可能になり、完全性を損なう。機密情報の漏えいは直接の影響に含まれないが、業務フローの混乱やデータ不整合のリスクがある。宛先やURLの解釈のずれからアクセス制御が回避される構図は、Apache TomcatのURL処理不備によるアクセス制御回避でも見られたもので、認可設定そのものが正しくても防げない点に注意が必要である。
現場目線の課題
ActiveMQは「Javaのメッセージブローカー」として長年使われており、情シス担当者の中には「バージョンが古いまま動いているが、今まで問題なかった」という認識の人もいるだろう。特に5系は6系への移行が必要なメジャーバージョンアップであり、現場では「動いているものを触りたくない」という空気が強い。
しかし今回の脆弱性は、同じバージョン範囲に2件の異なる性質の問題が存在する。DoSは外部からの攻撃経路になりうるため、AMQPコネクタがファイアウォール内に閉じているかどうかの確認が急務だ。一方、認可バイパスは内部ユーザーからの悪用も想定でき、マルチテナント環境や部門間でActiveMQを共有している場合は影響が大きい。
実際の現場では、ActiveMQがどのシステムで使われているか、どのバージョンが動いているか、すら把握しきれていないケースも少なくない。依存関係の調査から始める必要がある。
情シスはどうすべきか
まず、自社環境でActiveMQ（またはActiveMQを組み込んだ製品）が使用されていないかを確認する。パッケージソフトウェアや業務システムのバックエンドに組み込まれている場合、表立って見えないことが多い。Apache Axis2の未認証RCEのように、Javaのミドルウェアやライブラリが「いつの間にか入っていた」ことで対応が後手に回る例は珍しくない。
使用が確認できた場合は、以下の優先度で対応を検討する。
- 緊急（即日〜数日）：AMQP NIOコネクタがインターネットまたは社内ネットワークの不特定多数から到達可能な場合。ファイアウォールやセキュリティグループでアクセス元を制限する暫定対応を検討し、修正版へのアップデートを計画する。
- 短期（1〜2週間）：社内からのみ到達可能で、認証・認可を適切に設定している場合。修正版5.19.9、6.2.8、または6.3.0へのアップグレードを実施する。
アップグレードに際しては、5系から6系への移行が必要な場合、設定ファイルやAPIの互換性を事前に検証する。ActiveMQの公式サイトに各バージョンのリリースノートが掲載されている。
セキュリティ対策の基本については、IPAのランサムウェア対策特設ページや中小企業の情報セキュリティ対策ガイドラインを参照し、資産管理と脆弱性対応のプロセスを整備しておくことが重要である。
まとめ
- Apache ActiveMQに認可バイパス（CVE-2026-61487）とDoS（CVE-2026-59878）の2件の脆弱性が公表された
- 影響範囲は5.19.9未満、6.0.0以上6.2.8未満。修正版は5.19.9、6.2.8、6.3.0
- AMQPコネクタが外部に公開されている環境では、認証不要のDoS攻撃が可能なため、優先的に対応が必要
