CVE-2026-16723: Kerentanan RCE Kritis di Fastjson Dieksploitasi Aktif, Belum Ada Patch dari Alibaba

Karakteristik Eksploitasi

Kerentanan ini berbeda dari eksploit Fastjson sebelumnya dalam tiga cara penting:

• Tidak memerlukan AutoType: Tidak seperti RCE Fastjson sebelumnya, kerentanan ini bekerja pada konfigurasi default — AutoType tidak perlu diaktifkan .
• Tidak memerlukan gadget classpath: Eksploit tidak bergantung pada kelas gadget pihak ketiga mana pun yang ada di classpath .
• Tidak ada autentikasi, tidak ada interaksi pengguna: Penyerang yang tidak terautentikasi dapat mengirim payload JSON yang dirancang melalui jaringan dan mencapai RCE tanpa tindakan pengguna apa pun .

Konfigurasi Deployment yang Terpengaruh

Eksploit ini tidak bersifat universal di semua penggunaan Fastjson. Ini membutuhkan semua kondisi berikut :

1. Fastjson 1.2.68–1.2.83 digunakan.
2. Aplikasi di-deploy sebagai Spring Boot executable fat-JAR.
3. SafeMode dinonaktifkan (yang merupakan default).
4. JSON yang dikendalikan dari luar mencapai titik masuk parser Fastjson (mis., JSON.parse, JSON.parseObject).

Deployment JAR non-fat standar, deployment WAR di Tomcat/Jetty, dan uber-JAR generik tidak terpengaruh .

Dampak yang dikonfirmasi: Spring Boot 2.x–4x di seluruh JDK 8 hingga JDK 21. Kerentanan ada di library Fastjson itu sendiri, bukan di JDK, jadi semua versi JDK yang didukung yang membawa Fastjson rentan berisiko .

Eksploitasi Aktif di Dunia Nyata

• Target yang Diamati: ThreatBook dan Imperva telah mengamati eksploitasi aktif yang terutama menargetkan organisasi berbasis di AS .
• Sektor Industri yang Diserang: Layanan keuangan, perawatan kesehatan, komputasi/teknologi, dan ritel .
• Garis Waktu: Penyerang mulai mengeksploitasi celah ini dalam waktu sekitar satu hari setelah pengungkapan (19–20 Juli 2026) .
• IOC Tersedia: Threadlinqs Intelligence melacak 23 indikator kompromi dan 9 aturan deteksi (Splunk SPL, Microsoft KQL, Sigma) .

Mitigasi yang Direkomendasikan (Belum Ada Patch)

Karena Alibaba belum merilis rilis Fastjson 1.x yang diperbaiki, organisasi harus menerapkan salah satu solusi berikut :

1. Aktifkan SafeMode — Setel properti sistem JVM -Dfastjson.parser.safeMode=true. Ini menonaktifkan semua deserialisasi kelas arbitrer .
2. Gunakan build terbatas — Ganti artefak standar dengan com.alibaba:fastjson:1.2.83_noneautotype, build khusus yang menghilangkan dukungan AutoType sepenuhnya .
3. Migrasi ke Fastjson 2.x — Fastjson 2.x secara arsitektural kebal terhadap serangan jenis ini dan merupakan solusi jangka panjang yang direkomendasikan .

Panduan deteksi tambahan: Pantau log untuk nilai @type yang mencurigakan, URL JAR bersarang di payload JSON, dan koneksi jaringan keluar yang tidak terduga dari server aplikasi .

Catatan Penting

• Belum ada rilis 1.x yang diperbaiki pada 26 Juli 2026. Tiga mitigasi di atas adalah satu-satunya opsi yang tersedia .
• Eksploit memerlukan pola deployment Spring Boot fat-JAR tertentu — ini mempersempit radius ledakan di dunia nyata tetapi masih menyisakan sejumlah besar aplikasi Spring Boot perusahaan yang terpajan .
• Beberapa daftar CVE awal (mis., cve.radio) awalnya menyatakan "tidak ada eksploitasi publik yang dilaporkan," tetapi informasi itu sekarang sudah usang mengingat laporan yang dikonfirmasi dari Imperva, ThreatBook, dan Threadlinqs .