CVE-2026-16723: Kritische Fastjson-RCE-Lücke wird aktiv ausgenutzt – kein Patch verfügbar

• CVE-ID: CVE-2026-16723, veröffentlicht am 23. Juli 2026 .
• CVSS-Score: 9,0 (Kritisch), Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H – netzwerkbasiert, keine Berechtigungen erforderlich, keine Benutzerinteraktion, veränderter Scope, hohe Auswirkungen auf Vertraulichkeit, Verfügbarkeit und Integrität .
• Betroffene Versionen: Fastjson 1.2.68 bis 1.2.83 (der letzte Standard-1.x-Release). Es wurde kein gepatchter 1.x-Build von Alibaba veröffentlicht .
• Offenlegung: Kirill Firsov von FearsOff Cybersecurity hat die Schwachstelle am oder um den 19. Juli 2026 offengelegt. Vollständige technische Details und funktionierender Proof-of-Code-Code wurden seitdem öffentlich gemacht .

Eigenschaften der Ausnutzung

Diese Sicherheitslücke unterscheidet sich in drei wichtigen Punkten von früheren Fastjson-Exploits:

• Kein AutoType erforderlich: Im Gegensatz zu früheren Fastjson-RCEs funktioniert diese Schwachstelle unter der Standardkonfiguration – AutoType muss nicht aktiviert sein .
• Keine Klassenpfad-Gadgets erforderlich: Der Exploit ist nicht auf das Vorhandensein von Drittanbieter-Gadget-Klassen im Klassenpfad angewiesen .
• Keine Authentifizierung, keine Benutzerinteraktion: Ein nicht authentifizierter Angreifer kann eine manipulierte JSON-Nutzlast über das Netzwerk senden und eine RCE ohne Benutzeraktion erreichen .

Betroffene Bereitstellungskonfiguration

Der Exploit ist nicht universell für alle Fastjson-Verwendungen. Er erfordert alle folgenden Bedingungen :

1. Verwendung von Fastjson 1.2.68–1.2.83.
2. Die Anwendung wird als Spring Boot ausführbare Fat-JAR bereitgestellt.
3. SafeMode ist deaktiviert (Standardeinstellung).
4. Extern kontrolliertes JSON erreicht einen Fastjson-Parser-Einstiegspunkt (z. B. JSON.parse, JSON.parseObject).

Standard-Non-Fat-JAR-Bereitstellungen, WAR-Bereitstellungen auf Tomcat/Jetty und generische Uber-JARs sind nicht betroffen .

Bestätigte Auswirkungen: Spring Boot 2.x–4.x über JDK 8 bis JDK 21. Die Schwachstelle liegt in der Fastjson-Bibliothek selbst, nicht im JDK, daher sind alle unterstützten JDK-Versionen mit verwundbarem Fastjson gefährdet .

Aktive Ausnutzung im Internet

• Beobachtete Zielauswahl: ThreatBook und Imperva haben eine aktive Ausnutzung beobachtet, die sich hauptsächlich gegen US-amerikanische Organisationen richtet .
• Betroffene Branchen: Finanzdienstleistungen, Gesundheitswesen, Computer-/Technologie und Einzelhandel .
• Zeitlicher Ablauf: Angreifer begannen etwa einen Tag nach der Offenlegung (19.–20. Juli 2026) mit der Ausnutzung der Schwachstelle .
• IOCs verfügbar: Threadlinqs Intelligence verfolgt 23 Indikatoren für eine Kompromittierung und 9 Erkennungsregeln (Splunk SPL, Microsoft KQL, Sigma) .

Empfohlene Gegenmaßnahmen (kein Patch verfügbar)

Da Alibaba keinen gepatchten Fastjson 1.x-Release veröffentlicht hat, müssen Organisationen einen der folgenden Workarounds anwenden :

1. SafeMode aktivieren – Setzen Sie die JVM-Systemeigenschaft -Dfastjson.parser.safeMode=true. Dies deaktiviert die Deserialisierung beliebiger Klassen .
2. Eingeschränkten Build verwenden – Ersetzen Sie das Standard-Artefakt durch com.alibaba:fastjson:1.2.83_noneautotype, einen speziellen Build, der die AutoType-Unterstützung vollständig entfernt .
3. Auf Fastjson 2.x migrieren – Fastjson 2.x ist architektonisch immun gegen diese Art von Angriff und wird als langfristige Lösung empfohlen .

Zusätzliche Erkennungshinweise: Überwachen Sie Protokolle auf verdächtige @type-Werte, verschachtelte JAR-URLs in JSON-Nutzlasten und unerwartete ausgehende Netzwerkverbindungen von Anwendungsservern .

Wichtige Einschränkungen

• Es existiert kein gepatchter 1.x-Release zum 26. Juli 2026. Die drei oben genannten Gegenmaßnahmen sind die einzigen verfügbaren Optionen .
• Der Exploit erfordert das spezifische Spring-Boot-Fat-JAR-Bereitstellungsmuster – dies schränkt den realen Schadensradius ein, lässt aber dennoch eine sehr große Anzahl von unternehmenskritischen Spring-Boot-Anwendungen exponiert .
• Einige frühe CVE-Listungen (z. B. cve.radio) gaben zunächst an, dass "keine öffentliche Ausnutzung gemeldet" wurde, aber diese Information ist aufgrund bestätigter Berichte von Imperva, ThreatBook und Threadlinqs inzwischen veraltet .