AnswersPublished23 sources
CVE-2026-16723: פגיעות RCE קריטית ב-Fastjson מנוצלת בשטח — אין תיקון זמין
CVE 2026 16723 היא פגיעות Remote Code Execution (RCE) קריטית ב Fastjson של עליבאבא, בגרסאות 1.2.68 עד 1.2.83, עם ציון CVSS 9.0, המאפשרת ניצול ללא צורך בהפעלת AutoType, ללא Gadgets ב Classpath וללא אימות משתמש. מאחר שעליבאבא לא שחררה תיקון לגרסת 1.x, ארגונים חייבים להפעיל מיד את SafeMode (Dfastjson.parser.safeMode=tr...
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the details of the critical actively exploited remote code execution vulnerability (CVE-. Article summary: CVE-2026-16723 is a critical, actively exploited remote code execution vulnerability in Alibaba Fastjson 1.x versions 1.2.68 through 1.2.83, carrying a CVSS 9.0 score. All the major claims you listed are confirmed by aut. Topic tags: general, government, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text,
CVE-2026-16723 היא פגיעות Remote Code Execution (RCE) קריטית ומנוצלת באופן פעיל ברכיב Alibaba Fastjson בגרסאות 1.2.68 עד 1.2.83, עם ציון CVSS 9.0. חברות אבטחה אישרו ניצול פעיל בשטח, ועליבאבא לא פרסמה גרסה מתוקנת של 1.x נכון לסוף יולי 2026 .
סקירת הפגיעות
- מזהה CVE: CVE-2026-16723, פורסם ב-23 ביולי 2026
.
- ציון CVSS: 9.0 (קריטי), וקטור
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H— מבוסס רשת, ללא צורך בהרשאות, ללא אינטראקציה עם משתמש, היקף שונה, פגיעה גבוהה בסודיות, זמינות ושלמות.
- גרסאות מושפעות: Fastjson 1.2.68 עד 1.2.83 (הגרסה הסטנדרטית האחרונה בסדרת 1.x). עליבאבא לא פרסמה גרסה מתוקנת ל-1.x
.
- גילוי: קיריל פירסוב מ-FearsOff Cybersecurity חשף את הפגם בסביבות 19 ביולי 2026. מאז פורסמו פרטים טכניים מלאים וקוד PoC (Proof of Concept) עובד
.
מאפייני הניצול
פגיעות זו שוברת את התבנית של ניצולי Fastjson קודמים בשלוש דרכים חשובות:
- ללא צורך ב-AutoType: בניגוד ל-RCE קודמים ב-Fastjson, פגיעות זו פועלת בתצורת ברירת המחדל — אין צורך להפעיל AutoType
.
- ללא צורך ב-Gadgets ב-Classpath: הניצול אינו תלוי בנוכחות מחלקות גאדג'ט של צד שלישי ב-Classpath
.
- ללא אימות, ללא אינטראקציה: תוקף לא מאומת יכול לשלוח מטען JSON מותאם דרך הרשת ולבצע קוד מרחוק ללא כל פעולה מצד המשתמש
.
תנאי פריסה מושפעים
הניצול אינו אוניברסלי בכל שימוש ב-Fastjson. נדרשים כל התנאים הבאים :
- שימוש ב-Fastjson 1.2.68–1.2.83.
- האפליקציה פרוסה כ-Spring Boot executable fat-JAR.
- SafeMode כבוי (ברירת המחדל).
- JSON חיצוני מגיע לנקודת כניסה של מפענח Fastjson (למשל,
JSON.parse,JSON.parseObject).
פריסות fat-JAR שאינן Spring Boot, פריסות WAR ב-Tomcat/Jetty, ו-uber-JARs גנריים אינן מושפעות .
אישור השפעה: Spring Boot 2.x–4.x על פני JDK 8 עד JDK 21. הפגיעות נמצאת בספריית Fastjson עצמה, לא ב-JDK, כך שכל גרסאות ה-JDK הנתמכות הנושאות Fastjson פגיע נמצאות בסיכון .
ניצול פעיל בשטח
- מיקוד נצפה: ThreatBook ו-Imperva צפו בניצול פעיל המכוון בעיקר לארגונים בארה"ב
.
- מגזרים תחת מתקפה: שירותים פיננסיים, בריאות, מחשוב/טכנולוגיה וקמעונאות
.
- ציר זמן: תוקפים החלו לנצל את הפגם תוך כיומיים מהחשיפה (19–20 ביולי 2026)
.
- IOCs זמינים: Threadlinqs Intelligence עוקב אחר 23 אינדיקטורים לפגיעה (IOCs) ו-9 כללי זיהוי (Splunk SPL, Microsoft KQL, Sigma)
.
אמצעי הפחתה מומלצים (ללא תיקון זמין)
מאחר שעליבאבא לא פרסמה גרסה מתוקנת ל-Fastjson 1.x, ארגונים חייבים ליישם אחד מפתרונות העוקף הבאים :
- הפעל SafeMode — הגדרת מאפיין המערכת של JVM ל-
-Dfastjson.parser.safeMode=true. פעולה זו משביתה את כל ה-Deserialization של מחלקות שרירותיות.
- שימוש בגרסה המוגבלת — החלפת הארטיפקט הסטנדרטי ב-
com.alibaba:fastjson:1.2.83_noneautotype, גרסה מיוחדת שמסירה לחלוטין תמיכה ב-AutoType.
- הגירה ל-Fastjson 2.x — Fastjson 2.x חסין מבחינה ארכיטקטונית מפני סוג זה של מתקפה ומהווה הפתרון המומלץ לטווח ארוך
.
הנחיות זיהוי נוספות: יש לנטר לוגים לאיתור ערכי @type חשודים, כתובות JAR מקוננות במטעני JSON, וחיבורי רשת יוצאים בלתי צפויים משרתי האפליקציה .
אזהרות מפתח
- אין גרסה מתוקנת של 1.x נכון ל-26 ביולי 2026. שלושת אמצעי ההפחתה לעיל הם האפשרויות היחידות
.
- הניצול דורש דפוס פריסה ספציפי של Spring Boot fat-JAR — זה מצמצם את היקף הפגיעה בעולם האמיתי אך עדיין משאיר מספר גדול מאוד של אפליקציות Spring Boot ארגוניות חשופות
.
- חלק מרישומי CVE מוקדמים (למשל, cve.radio) הצהירו תחילה כי "לא דווח על ניצול ציבורי", אך מידע זה אינו מעודכן לאור דיווחים מאושרים מ-Imperva, ThreatBook ו-Threadlinqs
.
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
People also ask
What is the short answer to "CVE-2026-16723: פגיעות RCE קריטית ב-Fastjson מנוצלת בשטח — אין תיקון זמין"?
CVE 2026 16723 היא פגיעות Remote Code Execution (RCE) קריטית ב Fastjson של עליבאבא, בגרסאות 1.2.68 עד 1.2.83, עם ציון CVSS 9.0, המאפשרת ניצול ללא צורך בהפעלת AutoType, ללא Gadgets ב Classpath וללא אימות משתמש.
What are the key points to validate first?
CVE 2026 16723 היא פגיעות Remote Code Execution (RCE) קריטית ב Fastjson של עליבאבא, בגרסאות 1.2.68 עד 1.2.83, עם ציון CVSS 9.0, המאפשרת ניצול ללא צורך בהפעלת AutoType, ללא Gadgets ב Classpath וללא אימות משתמש. מאחר שעליבאבא לא שחררה תיקון לגרסת 1.x, ארגונים חייבים להפעיל מיד את SafeMode (Dfastjson.parser.safeMode=true), לעבור לגרסה המוגבלת 1.2.83 noneautotype, או להגר ל Fastjson 2.x.
What should I do next in practice?
הניצול אינו אוניברסלי: הוא פועל רק על פריסות Spring Boot בצורת fat JAR, כש SafeMode כבוי, ונתוני JSON חיצוניים מגיעים לפענח Fastjson.
Sources
- euvd.enisa.europa.euEUVD
- nvd.nist.govCVE-2026-16723 Detail - NVD
- aiweekly.coAlibaba's Fastjson 1.x Hit by Active RCE Exploits, No Patch
- innovationnetworkdesign.comCRITICAL: Fastjson 1.x CVE-2026-16723 Exploited in the ...
- cvefeed.ioCVE-2026-16723 - Remote Code Execution in fastjson 1.2. ...
- cve.radioCVE-2026-16723 · CVSS 9.0 Critical · Alibaba Fastjson
- intel.threadlinqs.comFastjson 1.x RCE (CVE-2026-16723) — Gadget-Free Deserialization Bypass Actively Exploited in Spring Boot Fat-JAR Deployments — Threadlinqs Intelligence
- imperva.comImperva Customers Protected Against CVE-2026-16723: Critical FastJson ...
- mallory.aiRemote Code Execution in Alibaba Fastjson 1.x (CVE-2026-16723)
- vulnerability.circl.luCVE-2026-16723 - Vulnerability-Lookup
- tenable.comCVE-2026-16723
- securityonline.infoPublic PoC Released for fastjson 1.2.83 RCE Flaw
- devhub.checkmarx.comDeserialization of Untrusted Data in com.alibaba:fastjson
- mondoo.comCVE-2026-16723 | Mondoo Vulnerability Intelligence
- securityonline.infoCVE Watchtower
- nsfocusglobal.comFastjson 1.2.68 and Earlier Remote Code Execution Vulnerability Threat ...
- threatcluster.ioCritical RCE Vulnerability in fastjson Disclosed (CVE-2026-16723) - ThreatCluster
- feedly.comCVE-2026-16723 - Exploits & Severity
- cve.akaoma.comCVE-2026-16723 Security Vulnerability & Exploit Details
- kkm-mako.comFastjsonに乗っ取りの穴 CVE-2026-16723、Javaの定番部品は今すぐ対処を
- redhotcyber.comCVE Details - Red Hot Cyber
- linkedin.comLewis Combs' Post
- youtube.comCVE-2026-16723: Fastjson RCE — The Safe Version Is the Vulnerable Version