Kritická zranitelnost CVE-2026-16723 v knihovně Fastjson je aktivně zneužívána, oprava není k dispozici

CVE-2026-16723 je kritická, aktivně zneužívaná zranitelnost umožňující vzdálené spuštění kódu (RCE) v knihovně Alibaba Fastjson ve verzích 1.2.68 až 1.2.83. Její CVSS skóre je 9,0. Bezpečnostní firmy potvrdily aktivní zneužívání v praxi a k konci července 2026 stále neexistuje opravená verze z dílny Alibaba pro řadu 1.x .

Přehled zranitelnosti

• ID CVE: CVE-2026-16723, zveřejněno 23. července 2026 .
• CVSS skóre: 9,0 (kritické), vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H – útok po síti, bez nutnosti oprávnění, bez interakce uživatele, změna rozsahu, vysoký dopad na důvěrnost/dostupnost/integritu .
• Dotčené verze: Fastjson 1.2.68 až 1.2.83 (poslední standardní vydání řady 1.x). Alibaba nevydal žádnou opravenou verzi 1.x .
• Zveřejnění: Kirill Firsov ze společnosti FearsOff Cybersecurity zveřejnil chybu kolem 19. července 2026. Od té doby byly veřejně publikovány úplné technické detaily a funkční proof-of-concept kód .

Charakteristiky zneužití

Tato zranitelnost se zásadně liší od předchozích exploitů Fastjson ve třech důležitých ohledech:

• Není vyžadován AutoType: Na rozdíl od dřívějších RCE ve Fastjson tato chyba funguje ve výchozím nastavení knihovny – AutoType nemusí být povolen .
• Nejsou vyžadovány gadget třídy: Exploit nezávisí na přítomnosti žádných gadget tříd třetích stran na classpathu .
• Není vyžadována autentizace ani interakce uživatele: Neautentizovaný útočník může odeslat upravený JSON payload po síti a dosáhnout RCE bez jakékoli akce uživatele .

Postižená konfigurace nasazení

Exploit není univerzální pro všechna použití Fastjson. Vyžaduje všechny následující podmínky :

1. Použití Fastjson 1.2.68–1.2.83.
2. Aplikace nasazená jako spustitelný fat-JAR Spring Bootu.
3. SafeMode vypnutý (což je výchozí stav).
4. Externě řízený JSON se dostane ke vstupnímu bodu parseru Fastjson (např. JSON.parse, JSON.parseObject).

Standardní nasazení bez fat-JAR, WAR nasazení na Tomcatu/Jetty a generické uber-JAR nejsou zranitelné .

Potvrzený dopad: Spring Boot 2.x–4.x na JDK 8 až JDK 21. Zranitelnost je v samotné knihovně Fastjson, nikoli v JDK, takže všechna podporovaná JDK s touto knihovnou jsou v ohrožení .

Aktivní zneužívání v praxi

• Pozorované cíle: Společnosti ThreatBook a Imperva zaznamenaly aktivní zneužívání primárně zaměřené na organizace v USA .
• Zasažená odvětví: Finanční služby, zdravotnictví, výpočetní technika a maloobchod .
• Časová osa: Útočníci začali chybu zneužívat přibližně do jednoho dne od zveřejnění (19.–20. července 2026) .
• Dostupné indikátory kompromitace (IoC): Threat Intelligence společnosti Threadlinqs sleduje 23 indikátorů kompromitace a 9 detekčních pravidel (Splunk SPL, Microsoft KQL, Sigma) .

Doporučené zmírňující kroky (bez dostupné opravy)

Jelikož Alibaba nevydal opravenou verzi Fastjson 1.x, musí organizace použít jedno z následujících náhradních řešení :

1. Povolit SafeMode – Nastavit systémovou vlastnost JVM -Dfastjson.parser.safeMode=true. Tím se zakáže veškerá deserializace libovolných tříd .
2. Použít omezené sestavení – Nahradit standardní artefakt za com.alibaba:fastjson:1.2.83_noneautotype, speciální sestavení, které zcela odstraňuje podporu AutoType .
3. Migrovat na Fastjson 2.x – Fastjson 2.x je architektonicky imunní vůči tomuto typu útoku a je doporučeným dlouhodobým řešením .

Další pokyny pro detekci: Sledujte logy pro podezřelé hodnoty @type, vnořené JAR URL v JSON payloadu a neočekávaná odchozí síťová spojení z aplikačních serverů .

Klíčová upozornění

• K 26. červenci 2026 neexistuje žádná opravená verze 1.x. Výše uvedené tři mitigace jsou jedinými dostupnými možnostmi .
• Exploit vyžaduje specifický způsob nasazení Spring Boot fat-JAR – to zužuje skutečný rozsah zasažených systémů, ale stále ponechává obrovské množství podnikových Spring Boot aplikací vystavených riziku .
• Některá starší vydání CVE (např. cve.radio) původně uváděla, že „nebylo hlášeno žádné veřejné zneužívání“, ale tyto informace jsou nyní zastaralé vzhledem k potvrzeným zprávám od společností Imperva, ThreatBook a Threadlinqs .