Kritisk sårbarhed i Alibaba Fastjson udnyttes aktivt – ingen officiel patch

CVE-2026-16723 er en kritisk, aktivt udnyttet sårbarhed, der tillader fjernudførelse af kode (remote code execution) i Alibaba Fastjson 1.x, version 1.2.68 til 1.2.83. Sårbarheden har en CVSS-score på 9,0 (kritisk). Alle de centrale påstande bekræftes af autoritative kilder hos myndigheder og sikkerhedsleverandører, dog med vigtige forbehold omkring de præcise angrebsbetingelser.

Sårbarhedens omfang

• CVE-ID: CVE-2026-16723, offentliggjort 23. juli 2026 .
• CVSS-score: 9,0 (kritisk) med vektoren CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H – netværksbaseret, kræver ingen privilegier eller brugerinteraktion, ændret scope, høj påvirkning af fortrolighed, integritet og tilgængelighed .
• Berørte versioner: Fastjson 1.2.68 til 1.2.83 (den seneste standard 1.x-udgivelse). Alibaba har ikke udsendt en patchet 1.x-version .
• Offentliggørelse: Kirill Firsov fra FearsOff Cybersecurity afslørede fejlen omkring 19. juli 2026. Fuld tekniske detaljer og fungerende bevis for udnyttelse (proof-of-concept) er offentligt tilgængelige .

Udnyttelseskarakteristika

• Ingen AutoType påkrævet: I modsætning til tidligere Fastjson-sårbarheder fungerer denne under standardkonfigurationen – AutoType skal ikke være aktiveret .
• Ingen klasse-sti-gadgets påkrævet: Udnyttelsen kræver ikke tilstedeværelsen af tredjeparts gadget-klasser .
• Ingen autentifikation eller brugerinteraktion: En uautoriseret angriber kan sende en skræddersyet JSON-payload over netværket og opnå fjernudførelse af kode uden nogen brugerhandling .

Berørte deploymentsbetingelser

Sårbarheden er ikke universel. Alle følgende betingelser skal være opfyldt :

1. Fastjson 1.2.68–1.2.83 er i brug.
2. Applikationen er implementeret som en Spring Boot eksekverbar fat-JAR.
3. SafeMode er deaktiveret (standard).
4. Eksternt kontrolleret JSON når et Fastjson-parser-indgangspunkt (f.eks. JSON.parse, JSON.parseObject).

Standard non-fat JAR-deployments, WAR-deployments på Tomcat/Jetty og generiske uber-JAR'er er ikke påvirket .

• Bekræftet påvirkning: Spring Boot 2.x–4.x med JDK 8 til JDK 21. Sårbarheden ligger i Fastjson-biblioteket, ikke i JDK, så alle understøttede JDK-versioner med sårbar Fastjson er i risiko .

Aktiv udnyttelse i praksis

• Målrettede organisationer: ThreatBook og Imperva har observeret aktiv udnyttelse, der primært retter sig mod amerikanske organisationer .
• Brancher under angreb: Finansielle tjenester, sundhedspleje, IT/teknologi og detailhandel .
• Tidslinje: Angribere begyndte at udnytte fejlen inden for cirka et døgn efter offentliggørelsen (19.–20. juli 2026) .
• IOC'er tilgængelige: Threadlinqs Intelligence sporer 23 indikatorer på kompromittering og 9 detektionsregler (Splunk SPL, Microsoft KQL, Sigma) .

Anbefalede afhjælpninger (ingen patch tilgængelig)

Da Alibaba ikke har udsendt en patchet Fastjson 1.x-version, må organisationer anvende en af følgende løsninger :

1. Aktivér SafeMode – Sæt JVM-systemegenskaben -Dfastjson.parser.safeMode=true. Dette deaktiverer al deserialisering af vilkårlige klasser .
2. Brug den begrænsede build – Erstat standardartefakten med com.alibaba:fastjson:1.2.83_noneautotype, en særlig build, der fjerner AutoType-understøttelse helt .
3. Migrér til Fastjson 2.x – Fastjson 2.x er arkitekturmæssigt immun over for denne angrebstype og anbefales som langsigtet løsning .

Yderligere detektionsvejledning: Overvåg logs for mistænkelige @type-værdier, indlejrede JAR-URL'er i JSON-payloads og uventede udgående netværksforbindelser fra applikationsservere .

Vigtige forbehold

• Der findes ingen patchet 1.x-version pr. 26. juli 2026. De tre ovenstående afhjælpninger er de eneste muligheder .
• Udnyttelsen kræver det specifikke Spring Boot fat-JAR-implementeringsmønster – dette indsnævrer den reelle risikozone, men efterlader stadig et meget stort antal virksomheds-Spring Boot-applikationer eksponerede .
• Nogle tidlige CVE-oversigter (f.eks. cve.radio) angav først "ingen offentlig udnyttelse rapporteret", men disse oplysninger er nu forældede i lyset af bekræftede rapporter fra Imperva, ThreatBook og Threadlinqs .