CVE-2026-16723: 알리바바 Fastjson 1.x 치명적 RCE 취약점, 패치 없이 활발한 공격 발생

CVE-2026-16723은 알리바바 Fastjson 1.x 버전 1.2.68부터 1.2.83까지 영향을 미치는 원격 코드 실행(RCE) 취약점입니다. CVSS 점수는 9.0(치명적)이며, 보안 업체들은 현재 실제 환경에서 활발히 악용되고 있음을 확인했습니다. 하지만 알리바바는 2026년 7월 말 현재까지 1.x 버전에 대한 공식 패치를 출시하지 않았습니다 .

취약점 개요

• CVE ID: CVE-2026-16723, 2026년 7월 23일 공개 .
• CVSS 점수: 9.0 (치명적), 벡터 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — 네트워크 기반, 권한 불필요, 사용자 상호작용 불필요, 범위 변경, 기밀성/무결성/가용성에 높은 영향 .
• 영향받는 버전: Fastjson 1.2.68 ~ 1.2.83 (최신 표준 1.x 릴리스). 알리바바는 1.x에 대한 패치를 출시하지 않았습니다 .
• 공개: FearsOff Cybersecurity의 Kirill Firsov가 2026년 7월 19일경 이 결함을 공개했습니다. 이후 전체 기술 세부 정보와 동작하는 개념 증명(PoC) 코드가 공개적으로 게시되었습니다 .

악용 특징

이 취약점은 다음 세 가지 중요한 측면에서 이전 Fastjson 취약점과 다릅니다:

• AutoType 필요 없음: 이전 Fastjson RCE와 달리, 이 취약점은 기본 설정에서도 작동합니다. 즉, AutoType을 활성화할 필요가 없습니다 .
• 클래스패스 가젯 불필요: 이 취약점은 클래스패스에 타사 가젯 클래스가 존재하는 데 의존하지 않습니다 .
• 인증 및 사용자 상호작용 불필요: 인증되지 않은 공격자가 조작된 JSON 페이로드를 네트워크로 전송하여 사용자 상호작용 없이 RCE를 달성할 수 있습니다 .

취약한 배포 환경

이 취약점은 모든 Fastjson 사용 환경에서 악용 가능한 것은 아닙니다. 다음 조건이 모두 충족되어야 합니다 :

1. Fastjson 1.2.68~1.2.83 사용.
2. 애플리케이션이 Spring Boot 실행 가능 fat-JAR로 배포됨.
3. SafeMode가 비활성화됨 (기본값).
4. 외부에서 제어되는 JSON이 Fastjson 파서 진입점(예: JSON.parse, JSON.parseObject)에 도달함.

표준 non-fat JAR 배포, Tomcat/Jetty의 WAR 배포, 일반 uber-JAR은 영향을 받지 않습니다 .

확인된 영향: JDK 8부터 JDK 21까지의 Spring Boot 2.x~4.x. 취약점은 JDK가 아닌 Fastjson 라이브러리 자체에 있으므로, 취약한 Fastjson을 사용하는 모든 JDK 버전이 위험에 노출됩니다 .

활발한 실제 공격 현황

• 표적 관찰: ThreatBook과 Imperva는 주로 미국 기반 조직을 대상으로 하는 활발한 악용을 관찰했습니다 .
• 공격 대상 산업: 금융 서비스, 의료, 컴퓨팅/기술, 소매 .
• 타임라인: 공격자들은 취약점 공개 후 약 1일 만인 2026년 7월 19~20일에 악용을 시작했습니다 .
• 침해 지표(IoC) 제공: Threadlinqs Intelligence는 23개의 침해 지표와 9개의 탐지 규칙(Splunk SPL, Microsoft KQL, Sigma)을 추적하고 있습니다 .

권장 완화 조치 (패치 없음)

알리바바가 1.x Fastjson 패치를 출시하지 않았으므로, 조직은 다음 우회 조치 중 하나를 적용해야 합니다 :

1. SafeMode 활성화 — JVM 시스템 속성 -Dfastjson.parser.safeMode=true를 설정합니다. 이는 모든 임의 클래스 역직렬화를 비활성화합니다 .
2. 제한된 빌드 사용 — 표준 아티팩트를 com.alibaba:fastjson:1.2.83_noneautotype으로 교체합니다. 이 특수 빌드는 AutoType 지원을 완전히 제거합니다 .
3. Fastjson 2.x로 마이그레이션 — Fastjson 2.x는 아키텍처적으로 이 유형의 공격에 면역이며, 장기적인 권장 솔루션입니다 .

추가 탐지 지침: 로그에서 의심스러운 @type 값, JSON 페이로드의 중첩 JAR URL, 애플리케이션 서버의 예상치 못한 아웃바운드 네트워크 연결을 모니터링하십시오 .

주요 주의사항

• 2026년 7월 26일 현재, 패치된 1.x 릴리스는 존재하지 않습니다. 위의 세 가지 완화 조치가 유일한 옵션입니다 .
• 이 취약점은 특정 Spring Boot fat-JAR 배포 패턴만을 필요로 하므로 실제 영향 범위는 제한적이지만, 여전히 매우 많은 수의 엔터프라이즈 Spring Boot 애플리케이션이 노출되어 있습니다 .
• 일부 초기 CVE 목록(예: cve.radio)은 "공개적인 악용 보고 없음"이라고 명시했지만, Imperva, ThreatBook, Threadlinqs의 확인된 보고서에 따르면 이 정보는 현재 구식입니다 .