CVE-2026-16723: ثغرة RCE خطيرة في Fastjson يتم استغلالها بنشاط — ولا يوجد تصحيح حتى الآن

خصائص الاستغلال

تختلف هذه الثغرة عن ثغرات Fastjson السابقة بثلاث طرق مهمة:

• لا حاجة لتفعيل AutoType: على عكس ثغرات Fastjson السابقة، تعمل هذه الثغرة ضمن الإعدادات الافتراضية للمكتبة — لا تحتاج إلى تفعيل AutoType .
• لا حاجة لأدوات (gadgets) على مسار الفئات: لا يعتمد الاستغلال على وجود أي فئات أدوات تابعة لجهات خارجية على مسار الفئات (classpath) .
• لا حاجة لتوثيق أو تفاعل المستخدم: يمكن للمهاجم غير الموثوق إرسال حمولة JSON مصممة عبر الشبكة وتحقيق تنفيذ الأوامر دون أي إجراء من المستخدم .

تكوينات النشر المتأثرة

لا يؤثر الاستغلال على جميع استخدامات Fastjson. يشترط توفر جميع الشروط التالية :

1. استخدام Fastjson 1.2.68–1.2.83.
2. نشر التطبيق كملف JAR قابل للتنفيذ من Spring Boot (fat-JAR).
3. تعطيل وضع SafeMode (وهو الإعداد الافتراضي).
4. وصول بيانات JSON خاضعة لسيطرة المهاجم إلى محلل Fastjson (مثل JSON.parse، JSON.parseObject).

لا تتأثر نشرات WAR القياسية على خوادم Tomcat أو Jetty، أو ملفات JAR العامة الأخرى .

التأثير المؤكد: Spring Boot 2.x–4.x عبر JDK 8 حتى JDK 21. الثغرة موجودة في مكتبة Fastjson نفسها، وليس في JDK، لذا فإن جميع إصدارات JDK المدعومة التي تحمل Fastjson ضعيف معرضة للخطر .

الاستغلال الفعلي في الهجمات الإلكترونية

• الأهداف المرصودة: رصدت شركتا ThreatBook وImperva استغلالاً نشطاً يستهدف بشكل أساسي المؤسسات الأمريكية .
• القطاعات المستهدفة: الخدمات المالية والرعاية الصحية وتكنولوجيا الحوسبة والتجزئة .
• الجدول الزمني: بدأ المهاجمون استغلال الثغرة في غضون يوم واحد تقريباً من الإفصاح (19–20 يوليو 2026) .
• مؤشرات الاختراق (IOCs): يتتبع نظام Threadlinqs Intelligence 23 مؤشراً للاختراق و9 قواعد كشف (لـ Splunk SPL وMicrosoft KQL وSigma) .

الإجراءات الوقائية الموصى بها (لا يوجد تصحيح)

نظراً لأن علي بابا لم تصدر تحديثاً أمنياً لإصدار Fastjson 1.x، يجب على المؤسسات تطبيق أحد الحلول البديلة التالية :

1. تفعيل SafeMode: قم بتعيين خاصية نظام JVM -Dfastjson.parser.safeMode=true. يؤدي ذلك إلى تعطيل جميع عمليات إلغاء التسلسل للفئات العشوائية .
2. استخدام البناء المقيد: استبدل المكتبة القياسية بمكتبة com.alibaba:fastjson:1.2.83_noneautotype، وهي بناء خاص يزيل دعم AutoType بالكامل .
3. الترقية إلى Fastjson 2.x: Fastjson 2.x محصن هيكلياً ضد هذا النوع من الهجمات، وهو الحل الموصى به على المدى الطويل .

إرشادات إضافية للكشف: راقب سجلات النظام بحثاً عن قيم @type مشبوهة، وعناوين URL لملفات JAR متداخلة في حمولات JSON، واتصالات شبكة صادرة غير متوقعة من خوادم التطبيقات .

تحذيرات هامة

• لا يوجد تحديث أمني لإصدار 1.x حتى 26 يوليو 2026. الخيارات الثلاثة المذكورة أعلاه هي الحلول الوحيدة المتاحة .
• يتطلب الاستغلال نمط نشر Spring Boot fat-JAR المحدد — وهذا يقلل من نطاق التأثير الفعلي، لكنه لا يزال يترك عدداً كبيراً جداً من تطبيقات Spring Boot المؤسسية مكشوفة .
• بعض قوائم CVE المبكرة (مثل cve.radio) ذكرت في البداية "لم يتم الإبلاغ عن استغلال عام"، ولكن هذه المعلومات أصبحت قديمة الآن بناءً على التقارير المؤكدة من Imperva وThreatBook وThreadlinqs .