CVE-2026-16723：Fastjson 1.xに重大なRCE脆弱性、すでに悪用攻撃が発生中——パッチ未提供

CVE-2026-16723は、Alibaba Fastjson 1.x系（バージョン1.2.68～1.2.83）に存在するクリティカルなリモートコード実行（RCE）脆弱性です。CVSSスコアは9.0と評価されています。セキュリティ各社によってすでに実際の悪用が確認されており、2026年7月下旬時点でAlibabaから1.x系の修正版はリリースされていません。

脆弱性の概要

• CVE ID: CVE-2026-16723、2026年7月23日公開。
• CVSSスコア: 9.0（Critical）、ベクターは CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H——ネットワーク経由、特権不要、ユーザー操作不要、スコープ変更、機密性/完全性/可用性への影響はすべて「高」。
• 影響を受けるバージョン: Fastjson 1.2.68～1.2.83（1.x系の最新標準リリース）。Alibabaから1.x系のパッチ済みビルドはリリースされていません。
• 情報開示: FearsOff CybersecurityのKirill Firsov氏が2026年7月19日頃に本脆弱性を報告。詳細な技術情報と実証コード（PoC）はすでに公開されています。

悪用の特徴

本脆弱性は、これまでのFastjsonの脆弱性とは一線を画す、以下の3つの重要な点で異なります。

• AutoType不要: 従来のFastjsonのRCE脆弱性とは異なり、デフォルト設定のままでも悪用可能です。AutoTypeを有効にする必要はありません。
• クラスパスガジェット不要: 悪用のためにサードパーティ製のガジェットクラスがクラスパス上に存在する必要はありません。
• 認証不要、ユーザー操作不要: 認証されていない攻撃者が、細工したJSONペイロードをネットワーク経由で送信するだけで、ユーザーの操作なしにRCEを達成できます。

影響を受けるデプロイ構成

本脆弱性は、すべてのFastjson利用環境で悪用できるわけではありません。以下の条件がすべて揃った場合にのみ影響を受けます。

1. Fastjson 1.2.68～1.2.83を使用している。
2. アプリケーションがSpring Bootの実行可能fat-JARとしてデプロイされている。
3. SafeModeが無効（デフォルト設定）である。
4. 外部から制御可能なJSONがFastjsonパーサーのエントリポイント（例：JSON.parse、JSON.parseObject）に到達する。

標準的な非fat-JARデプロイ、TomcatやJetty上のWARデプロイ、一般的なuber-JARは影響を受けません。

確認されている影響範囲: Spring Boot 2.x～4.x、JDK 8～21。脆弱性はFastjsonライブラリ自体に存在するものであり、JDKに起因するものではないため、影響を受けるFastjsonを使用しているすべてのJDKバージョンがリスクにさらされます。

現在進行中の悪用

• 標的: ThreatBookおよびImpervaは、主に米国の組織を狙った悪用を確認しています。
• 攻撃対象セクター: 金融サービス、ヘルスケア、コンピューティング/テクノロジー、小売。
• タイムライン: 攻撃者は情報開示から約1日後（2026年7月19日～20日）には悪用を開始していました。
• IOC（侵害指標）: Threadlinqs Intelligenceは23のIOCと9つの検出ルール（Splunk SPL、Microsoft KQL、Sigma）を公開しています。

推奨される対策（パッチなし）

Alibabaから1.x系のパッチがリリースされていないため、組織は以下のいずれかの回避策を直ちに適用する必要があります。

1. SafeModeを有効化する —— JVMシステムプロパティ -Dfastjson.parser.safeMode=true を設定します。これにより、任意のクラスのデシリアライゼーションがすべて無効化されます。
2. 制限版ビルドを使用する —— 標準のアーティファクトを com.alibaba:fastjson:1.2.83_noneautotype に置き換えます。これはAutoTypeサポートを完全に除去した特別なビルドです。
3. Fastjson 2.xに移行する —— Fastjson 2.xはアーキテクチャ上、今回の攻撃手法に対して免疫を持っています。長期的な解決策として推奨されます。

追加の検知ガイダンス: ログで不審な @type 値、JSONペイロード内のネストされたJAR URL、アプリケーションサーバーからの予期しないアウトバウンドネットワーク接続を監視してください。

重要な注意点

• 2026年7月26日時点で、パッチ済みの1.x系リリースは存在しません。上記3つの回避策が唯一の選択肢です。
• 本脆弱性の悪用にはSpring Bootのfat-JARデプロイという特定の構成が必要です。これにより現実世界での影響範囲は限定されますが、それでも非常に多くのエンタープライズSpring Bootアプリケーションが露出していることに変わりはありません。
• 一部の初期のCVEリスト（例：cve.radio）では「公開悪用の報告なし」とされていましたが、Imperva、ThreatBook、Threadlinqsからの確認報告により、その情報は現在では古くなっています。