CVE-2026-16723: Kriittinen Fastjson RCE -haavoittuvuus aktiivisen hyväksikäytön kohteena – korjausta ei saatavilla

• CVE-tunnus: CVE-2026-16723, julkaistu 23. heinäkuuta 2026 .
• CVSS-pisteet: 9.0 (kriittinen), vektori CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H. Haavoittuvuus on hyödynnettävissä verkon yli, se ei vaadi todennusta tai käyttäjän toimia, ja se vaikuttaa järjestelmän luottamuksellisuuteen, eheyteen ja saatavuuteen .
• Vaikutuksen kohteena olevat versiot: Fastjson 1.2.68–1.2.83 (viimeisin 1.x-julkaisu). Korjattua 1.x-versiota ei ole saatavilla .
• Julkaisutiedot: Kirill Firsov FearsOff Cybersecurity -yhtiöstä paljasti haavoittuvuuden noin 19. heinäkuuta 2026. Tarkat tekniset tiedot ja toimiva proof-of-concept-koodi on julkaistu julkisesti .

Hyväksikäytön ominaispiirteet

Tämä haavoittuvuus eroaa aiemmista Fastjsonin haavoittuvuuksista kolmella merkittävällä tavalla:

• AutoTypea ei tarvita: Toisin kuin aiemmissa Fastjsonin RCE-haavoittuvuuksissa, tämä toimii kirjaston oletusasetuksilla – AutoType-ominaisuutta ei tarvitse ottaa käyttöön .
• Classpath-gadgetteja ei tarvita: Hyökkäys ei ole riippuvainen kolmannen osapuolen gadget-luokista classpathilla .
• Ei todennusta eikä käyttäjän toimia: Todentamaton hyökkääjä voi lähettää muokatun JSON-kuorman verkon yli ja suorittaa etäkoodin ilman käyttäjän toimia .

Vaikutuksen alaiset käyttöönotot

Haavoittuvuus ei koske kaikkia Fastjsonin käyttötapoja. Sen hyödyntäminen edellyttää kaikkia seuraavia ehtoja :

1. Fastjson 1.2.68–1.2.83 on käytössä.
2. Sovellus on otettu käyttöön Spring Boot -suoritettavana fat-JAR-pakettina.
3. SafeMode on poistettu käytöstä (oletusasetus).
4. Ulkoisesti ohjattu JSON pääsee Fastjson-jäsentimen alkupisteeseen (esim. JSON.parse tai JSON.parseObject).

Tavalliset ei-fat-JAR-käyttöönotot, Tomcat-/Jetty-WAR-käyttöönotot ja yleiset uber-JAR-paketit eivät ole vaikutuksen alaisia .

Vahvistettu vaikutus: Spring Boot 2.x–4.x JDK 8:sta JDK 21:een. Haavoittuvuus on itse Fastjson-kirjastossa, ei JDK:ssa, joten kaikki JDK-versiot, joissa on haavoittuva Fastjson, ovat vaarassa .

Aktiivinen hyväksikäyttö

• Havaittu kohdentaminen: ThreatBook ja Imperva ovat havainneet aktiivista hyväksikäyttöä, joka kohdistuu pääasiassa Yhdysvaltalaisiin organisaatioihin .
• Toimialat: Rahoituspalvelut, terveydenhuolto, tietotekniikka ja vähittäiskauppa .
• Aikajana: Hyökkääjät alkoivat hyödyntää haavoittuvuutta noin vuorokauden kuluessa sen paljastamisesta (19.–20. heinäkuuta 2026) .
  -IOC:t saatavilla: Threadlinqs Intelligence seuraa 23 kompromissi-indikaattoria ja 9 tunnistussääntöä (Splunk SPL, Microsoft KQL, Sigma) .

Suositellut suojautumistoimenpiteet (korjausta ei saatavilla)

Koska Alibaba ei ole julkaissut korjattua 1.x Fastjson -versiota, organisaatioiden on käytettävä jotakin seuraavista vaihtoehtoisista ratkaisuista :

1. Ota SafeMode käyttöön – Aseta JVM-järjestelmäominaisuus -Dfastjson.parser.safeMode=true. Tämä estää kaiken mielivaltaisten luokkien deserialisoinnin .
2. Käytä rajoitettua koontiversiota – Korvaa standardi artifact com.alibaba:fastjson:1.2.83_noneautotype-erikoisversiolla, joka poistaa AutoType-tuen kokonaan .
3. Siirry Fastjson 2.x:ään – Fastjson 2.x on arkkitehtuurisesti immuuni tällaisille hyökkäyksille, ja se on suositeltu pitkäaikainen ratkaisu .

Lisäohjeita havaitsemiseen: Seuraa lokeja epäilyttävien @type-arvojen, JSON-kuormiin sisällytettyjen JAR-URL-osoitteiden ja odottamattomien ulospäin suuntautuvien verkkoyhteyksien varalta .

Keskeiset huomautukset

• Korjattua 1.x-versiota ei ole saatavilla 26. heinäkuuta 2026 mennessä. Yllä mainitut kolme toimenpidettä ovat ainoat vaihtoehdot .
• Hyökkäys edellyttää erityistä Spring Boot fat-JAR -käyttöönottokuviota, mikä rajoittaa todellista levinneisyyttä, mutta jättää silti erittäin suuren määrän yritysten Spring Boot -sovelluksia alttiiksi .
• Jotkut aiemmat CVE-listaukset (esim. cve.radio) ilmoittivat alun perin, ettei julkista hyväksikäyttöä ole raportoitu, mutta nämä tiedot ovat vanhentuneita Impervan, ThreatBookin ja Threadlinqsin vahvistettujen raporttien vuoksi .