La réponse courte
Apache ActiveMQ Artemis contient une faille critique de détournement de session non authentifié — CVE-2026-57967, CVSS 9.8 — qui permet à un attaquant distant sans information d'identification de prendre le contrôle d'une session authentifiée existante du broker. La cause racine est l'authentification manquante (CWE-306) dans le chemin de rattachement de session du protocole CORE : le broker accepte un paquet SESSION_REATTACH sans confirmer que le demandeur possède réellement la session. Apache Artemis 2.50.0 à 2.56.0 et l'ancienne lignée ActiveMQ Artemis 1.0.0 à 2.44.0 sont concernés, et le correctif figure dans la version 2.57.0.
En pratique : tout broker Artemis dont l'accepteur CORE (généralement TCP 61616) est joignable depuis un réseau non fiable est exposé. Passez à 2.57.0 en priorité. Si vous ne pouvez pas corriger immédiatement, restreignez les accepteurs du broker aux sous-réseaux applicatifs de confiance et imposez TLS. Traiter les brokers comme une infrastructure cloud et DevOps interne et sécurisée par défaut est le correctif durable derrière le patch immédiat.
Qu'est-ce que CVE-2026-57967 ?
Apache ActiveMQ Artemis est le broker de messages haute performance au cœur de nombreux systèmes orientés événements et microservices — l'épine dorsale JMS et multiprotocole qui déplace commandes, paiements, changements de stock et événements d'audit entre les services. Le 10 septembre 2026, l'Apache Software Foundation a divulgué un lot d'avis Artemis, et CVE-2026-57967 est le plus grave : une faille critique d'authentification manquante (CWE-306) notée CVSS 9.8.
La faille réside dans le protocole CORE du broker, le protocole natif que les clients Artemis utilisent pour dialoguer avec le serveur. CORE prend en charge le rattachement de session — une fonction de résilience qui permet à un client de reprendre de façon transparente une session existante après une brève coupure de connexion au lieu de se réauthentifier de zéro. Le bug : le broker accepte une requête SESSION_REATTACH sans vérifier suffisamment que le demandeur est le propriétaire légitime de la session à rattacher. Un attaquant qui peut atteindre le broker et référencer un identifiant de session valide peut donc revendiquer la propriété de la session authentifiée d'autrui. Comme il s'agit d'infrastructure côté broker, son durcissement est autant une affaire DevOps et plateforme qu'applicative.
Les métriques de gravité en disent long : joignable par le réseau, faible complexité d'attaque, aucun privilège et aucune interaction utilisateur requise, avec un impact élevé sur la confidentialité, l'intégrité et la disponibilité. Autrement dit, un attaquant non authentifié sur un chemin réseau joignable peut prendre le contrôle d'une session privilégiée, déjà authentifiée, et agir avec ses droits. Le projet Apache a corrigé la logique de rattachement dans Artemis 2.57.0, qui valide désormais une requête de rattachement par rapport à l'état d'authentification courant avant de l'honorer.
Comment fonctionne le détournement de session
Le rattachement de session existe pour une bonne raison. Dans un déploiement Artemis chargé, les connexions TCP tombent et se rétablissent en permanence, et forcer une réauthentification complète et une reconstruction d'état à chaque coupure serait lent et fragile. Le protocole CORE permet donc à un client qui se reconnecte de présenter un paquet SESSION_REATTACH qui référence une session côté serveur existante et reprend là où elle s'était arrêtée — même identité authentifiée, mêmes producteurs et consommateurs ouverts, même état en cours.
CVE-2026-57967 brise l'hypothèse de confiance sous cette commodité. Le broker ne confirme pas suffisamment que celui qui envoie la requête de rattachement est le propriétaire d'origine, authentifié, de la session référencée. Un attaquant qui peut deviner ou observer un identifiant de session valide issu d'une connexion authentifiée antérieure peut envoyer son propre paquet SESSION_REATTACH revendiquant cette session — et le broker accorde l'accès à tout ce qui lui est associé. Pas de mot de passe, pas de jeton, pas d'invite utilisateur : portée réseau plus référence de session valide devient prise de contrôle de session.
De là, l'attaquant hérite des permissions de la session détournée sur le broker. Selon ce que cette session était autorisée à faire, cela peut signifier lire les messages en transit, injecter ou rejouer des messages vers les consommateurs en aval, altérer ou vider les files, ou perturber totalement le flux de messages. À la publication, aucune exploitation large dans la nature n'est confirmée, et Apache décrit ceci comme une faille divulguée plutôt que connue pour être exploitée. Maigre consolation : le chemin d'attaque est non authentifié et de faible complexité, et une fois les détails techniques d'un bug CVSS 9.8 publics, le balayage opportuniste des brokers exposés est l'attente réaliste, pas l'hypothèse lointaine.
Ce que cela signifie pour les équipes logicielles en France
Une fois écartées les spécificités du protocole, trois leçons durables demeurent. Premièrement, votre broker de messages est une infrastructure de production, pas une tuyauterie oubliable. Les équipes couvrent leurs API HTTP publiques d'authentification et de limitation de débit, puis exécutent Artemis avec un accepteur permissif parce que « c'est interne ». Un broker qui achemine paiements et événements d'audit mérite le même modèle de menace que votre périphérie. CVE-2026-57967 rappelle que la couche de messagerie est une partie de premier plan de votre surface d'attaque.
Deuxièmement, les fonctions de résilience sont une surface de sécurité. Rattachement de session, reconnexion automatique, bascule et mécanismes de rejeu existent tous pour rendre les systèmes plus robustes — et chacun est un endroit où l'identité peut être supposée au lieu d'être prouvée. Lorsque vous construisez ou commandez des systèmes orientés événements, chaque chemin « reprendre là où vous vous êtes arrêté » doit répondre explicitement à une question : comment vérifions-nous qu'il s'agit du même principal ? Intégrer ce contrôle dès la conception est bien moins coûteux que de le rétrofitter après un CVE.
Troisièmement, l'exposition réseau est le multiplicateur. La différence entre « CVE critique corrigé calmement » et « incident » tient presque toujours au fait que le port vulnérable était joignable depuis l'endroit où se trouve l'attaquant. Pour les équipes françaises, une prise de contrôle non authentifiée d'un broker transportant des données personnelles ou financières relève clairement du RGPD, de la transposition de NIS2 et, dans la finance, de DORA — le type d'exposition que des autorités comme la CNIL et l'ANSSI attendent que vous ayez segmentée par conception. Savoir exactement quels brokers, panneaux d'administration et services internes sont joignables, et depuis où, est ici le contrôle au plus fort levier.
Que faire maintenant
- Passez à Artemis 2.57.0. Faites migrer tout broker sur une version concernée — Apache Artemis 2.50.0–2.56.0 ou ancien ActiveMQ Artemis 1.0.0–2.44.0 — vers 2.57.0. Traitez-le comme un changement prioritaire, pas comme une maintenance de routine.
- Retirez les ports du broker des réseaux non fiables. L'accepteur CORE (généralement TCP 61616) et l'interface de management ne devraient être joignables que depuis des sous-réseaux applicatifs de confiance. Rien d'un broker de messages n'a sa place sur l'Internet public.
- Imposez TLS et l'authentification sur chaque accepteur. Exigez des connexions chiffrées et authentifiées pour tout le trafic client et inter-broker, et appliquez des rôles au moindre privilège sur les adresses et les files afin qu'une seule session compromise ne puisse pas tout atteindre.
- Traquez les anomalies. Examinez les journaux du broker pour repérer un va-et-vient de connexions inhabituel et une activité de rattachement, des adresses source inattendues sur l'accepteur CORE et des consommateurs inexpliqués. Alertez sur les schémas de rattachement qui ne correspondent pas à votre flotte de clients.
- Intégrez la messagerie à votre périmètre de test d'intrusion. Les brokers sont régulièrement laissés hors des tests de sécurité alors qu'ils transportent le trafic le plus sensible. Ajoutez la couche de messagerie à votre prochain test d'intrusion et auditez les services internes adjacents à la recherche de chemins similaires d'« identité supposée ».
Questions fréquentes
Qu'est-ce que CVE-2026-57967 dans Apache ActiveMQ Artemis ?
CVE-2026-57967 est une vulnérabilité critique d'authentification manquante (CWE-306) dans Apache ActiveMQ Artemis, notée CVSS 9.8. Le protocole CORE accepte un paquet SESSION_REATTACH sans vérifier suffisamment que le demandeur possède la session à rattacher. Un attaquant distant non authentifié qui peut atteindre le broker et référencer un identifiant de session valide peut détourner une session authentifiée existante et en assumer les privilèges — sans information d'identification ni interaction utilisateur.
Quelles versions sont concernées et quel est le correctif ?
Apache Artemis 2.50.0 à 2.56.0 et l'ancienne lignée Apache ActiveMQ Artemis de 1.0.0 à 2.44.0 sont concernés. Le correctif figure dans Apache ActiveMQ Artemis 2.57.0, qui valide une requête de rattachement de session par rapport à l'état d'authentification courant. Mettez à jour les brokers concernés vers 2.57.0 ; si vous ne pouvez pas corriger immédiatement, restreignez l'accepteur CORE (généralement TCP 61616) aux réseaux de confiance.
CVE-2026-57967 est-elle exploitée dans la nature ?
À la publication, aucune exploitation répandue confirmée n'est signalée, et les avis des éditeurs la traitent comme une vulnérabilité divulguée plutôt que connue pour être exploitée. Compte tenu du chemin d'attaque non authentifié et peu complexe et de la valeur des brokers de messages, l'armement devrait suivre rapidement la divulgation publique. Corrigez d'urgence et supposez un balayage opportuniste des brokers exposés.
Pourquoi un détournement de session non authentifié est-il noté CVSS 9.8 ?
Le vecteur CVSS est joignable par le réseau, faible complexité d'attaque, aucun privilège et aucune interaction utilisateur, avec un impact élevé sur la confidentialité, l'intégrité et la disponibilité. Une session de broker détournée permet à un attaquant de lire les messages, de les injecter ou de les rejouer vers les consommateurs, d'altérer les files ou de perturber le traitement — sur une infrastructure qui transporte commandes, paiements et événements d'audit. Cette combinaison d'accès trivial et d'impact grave produit la note quasi maximale.
Comment durcir Artemis au-delà du correctif ?
Après la mise à jour vers 2.57.0 : segmentez le broker afin que ses accepteurs CORE et de management ne soient joignables que depuis des sous-réseaux applicatifs de confiance, imposez TLS sur chaque accepteur, exigez l'authentification pour toutes les connexions et appliquez des rôles au moindre privilège sur les adresses et les files. Surveillez les schémas de connexion et de rattachement anormaux, et intégrez la couche de messagerie aux tests d'intrusion réguliers.
Sources
SecurityOnline — Apache Artemis Vulnerabilities Expose ActiveMQ Artemis Flaws
VulDB — CVE-2026-57967 in ActiveMQ Artemis (CVSS, versions concernées, correctif)
Apache Software Foundation — ActiveMQ Security Advisories