Faille critique dans Fastjson : une RCE activement exploitée, toujours pas de correctif

• Identifiant CVE : CVE-2026-16723, publiée le 23 juillet 2026 .
• Score CVSS : 9,0 (Critique), vecteur CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — accessible depuis le réseau, sans privilège, sans interaction utilisateur, avec un changement de périmètre et un impact élevé sur la confidentialité, l'intégrité et la disponibilité .
• Versions affectées : Fastjson 1.2.68 à 1.2.83 (la dernière version standard de la branche 1.x). Alibaba n'a pas publié de version 1.x corrigée .
• Divulgation : Kirill Firsov de FearsOff Cybersecurity a divulgué la faille vers le 19 juillet 2026. Les détails techniques complets et un code de preuve de concept fonctionnel ont depuis été rendus publics .

Caractéristiques de l'exploitation

Cette vulnérabilité se distingue des précédentes failles Fastjson sur trois points importants :

• Pas besoin d'AutoType : Contrairement aux précédentes RCE Fastjson, celle-ci fonctionne avec la configuration par défaut — AutoType ne doit pas être activé .
• Pas besoin de gadgets sur le classpath : L'exploitation ne dépend pas de classes de gadgets tierces présentes dans le classpath .
• Pas d'authentification, pas d'interaction utilisateur : Un attaquant non authentifié peut envoyer une charge utile JSON malveillante sur le réseau et exécuter du code à distance sans aucune action de l'utilisateur .

Configuration de déploiement concernée

L'exploitation n'est pas universelle pour toutes les utilisations de Fastjson. Elle nécessite la réunion de toutes les conditions suivantes :

1. Utilisation de Fastjson 1.2.68–1.2.83.
2. Application déployée sous forme de fat-JAR exécutable Spring Boot.
3. SafeMode désactivé (ce qui est le paramètre par défaut).
4. Du JSON contrôlé de l'extérieur atteint un point d'entrée de l'analyseur Fastjson (par exemple, JSON.parse, JSON.parseObject).

Les déploiements standard non fat-JAR, les déploiements WAR sur Tomcat/Jetty et les uber-JAR génériques ne sont pas concernés .

Impact confirmé : Spring Boot 2.x–4.x sur JDK 8 à JDK 21. La vulnérabilité se trouve dans la bibliothèque Fastjson elle-même, pas dans le JDK, donc toutes les versions de JDK supportées utilisant une version vulnérable de Fastjson sont à risque .

Exploitation active dans la nature

• Ciblage observé : ThreatBook et Imperva ont observé une exploitation active ciblant principalement des organisations basées aux États-Unis .
• Secteurs d'activité attaqués : Services financiers, santé, informatique/technologie et vente au détail .
• Chronologie : Les attaquants ont commencé à exploiter la faille environ un jour après la divulgation (19-20 juillet 2026) .
• Indicateurs de compromis disponibles : Threadlinqs Intelligence suit 23 indicateurs de compromis et 9 règles de détection (Splunk SPL, Microsoft KQL, Sigma) .

Mesures d'atténuation recommandées (aucun correctif disponible)

Alibaba n'ayant pas publié de version corrigée de Fastjson 1.x, les organisations doivent appliquer l'une des solutions de contournement suivantes :

1. Activer SafeMode — Définir la propriété système JVM -Dfastjson.parser.safeMode=true. Cela désactive toute désérialisation de classes arbitraires .
2. Utiliser la version restreinte — Remplacer l'artefact standard par com.alibaba:fastjson:1.2.83_noneautotype, une version spéciale qui supprime entièrement la prise en charge d'AutoType .
3. Migrer vers Fastjson 2.x — Fastjson 2.x est architecturalement immunisé contre ce type d'attaque et constitue la solution à long terme recommandée .

Conseils de détection supplémentaires : Surveiller les journaux pour détecter des valeurs @type suspectes, des URL de JAR imbriquées dans les charges utiles JSON et des connexions réseau sortantes inattendues depuis les serveurs d'applications .

Points importants à retenir

• Aucune version 1.x corrigée n'existe au 26 juillet 2026. Les trois mesures d'atténuation ci-dessus sont les seules options disponibles .
• L'exploitation nécessite le modèle de déploiement spécifique Spring Boot fat-JAR — cela réduit le champ d'explosion réel mais laisse néanmoins un très grand nombre d'applications Spring Boot d'entreprise exposées .
• Certaines listes CVE précoces (par exemple, cve.radio) indiquaient initialement "aucune exploitation publique signalée", mais cette information est désormais obsolète compte tenu des rapports confirmés d'Imperva, ThreatBook et Threadlinqs .