CVE-2026-16723: Lubang RCE Kritikal dalam Fastjson Dieksploitasi Secara Aktif — Tiada Tampalan Dikeluarkan

• ID CVE: CVE-2026-16723, diterbitkan pada 23 Julai 2026 .
• Skor CVSS: 9.0 (Kritikal), vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — berasaskan rangkaian, tiada keistimewaan diperlukan, tiada interaksi pengguna, skop berubah, impak kerahsiaan/ketersediaan/ integriti yang tinggi .
• Versi Terjejas: Fastjson 1.2.68 hingga 1.2.83 (keluaran standard 1.x terkini). Tiada binaan 1.x yang ditampal telah dikeluarkan oleh Alibaba .
• Pendedahan: Kirill Firsov dari FearsOff Cybersecurity mendedahkan kelemahan ini pada atau sekitar 19 Julai 2026. Butiran teknikal penuh dan kod bukti konsep (PoC) yang berfungsi telah diterbitkan secara awam .

Ciri-ciri Eksploitasi

Kelemahan ini memecah corak eksploit Fastjson sebelumnya dalam tiga cara penting:

• Tiada AutoType diperlukan: Tidak seperti RCE Fastjson sebelum ini, kelemahan ini berfungsi di bawah konfigurasi lalai standard — AutoType tidak perlu diaktifkan .
• Tiada gadget classpath diperlukan: Eksploit ini tidak bergantung pada sebarang kelas gadget pihak ketiga yang ada pada classpath .
• Tiada pengesahan, tiada interaksi pengguna: Penyerang yang tidak disahkan boleh menghantar muatan JSON yang direka bentuk melalui rangkaian dan mencapai RCE tanpa sebarang tindakan pengguna .

Konfigurasi Penggunaan Terjejas

Eksploit ini tidak universal merentas semua penggunaan Fastjson. Ia memerlukan semua syarat berikut :

1. Fastjson 1.2.68–1.2.83 digunakan.
2. Aplikasi digunakan sebagai Spring Boot executable fat-JAR.
3. SafeMode dimatikan (iaitu lalai).
4. JSON terkawal luaran mencapai titik masuk penghurai Fastjson (cth., JSON.parse, JSON.parseObject).

Penggunaan JAR bukan lemak standard, penggunaan WAR pada Tomcat/Jetty, dan uber-JAR generik tidak terjejas .

Kesan disahkan: Spring Boot 2.x–4.x merentas JDK 8 hingga JDK 21. Kelemahan ini ada pada pustaka Fastjson itu sendiri, bukan pada JDK, jadi semua versi JDK yang disokong yang membawa Fastjson terdedah adalah berisiko .

Eksploitasi Aktif di Alam Maya

• Sasaran diperhatikan: ThreatBook dan Imperva telah melihat eksploitasi aktif terutamanya menyasarkan organisasi berpangkalan di AS .
• Sektor industri yang diserang: Perkhidmatan kewangan, penjagaan kesihatan, pengkomputeran/teknologi, dan runcit .
• Garis masa: Penyerang mula mengeksploitasi kelemahan ini dalam kira-kira satu hari selepas pendedahan (19–20 Julai 2026) .
• IOC tersedia: Threadlinqs Intelligence menjejak 23 indikator kompromi dan 9 peraturan pengesanan (Splunk SPL, Microsoft KQL, Sigma) .

Langkah Mitigasi Disyorkan (Tiada Tampalan Tersedia)

Memandangkan Alibaba tidak mengeluarkan tampalan Fastjson 1.x, organisasi mesti menggunakan salah satu cara penyelesaian berikut :

1. Aktifkan SafeMode — Tetapkan sifat sistem JVM -Dfastjson.parser.safeMode=true. Ini akan menyahaktifkan semua penyahserialan kelas sewenang-wenangnya .
2. Gunakan binaan terhad — Gantikan artifak standard dengan com.alibaba:fastjson:1.2.83_noneautotype, binaan khas yang menyingkirkan sokongan AutoType sepenuhnya .
3. Berhijrah ke Fastjson 2.x — Fastjson 2.x kebal secara seni bina terhadap serangan jenis ini dan merupakan penyelesaian jangka panjang yang disyorkan .

Panduan pengesanan tambahan: Pantau log untuk nilai @type yang mencurigakan, URL JAR bersarang dalam muatan JSON, dan sambungan rangkaian keluar yang tidak dijangka daripada pelayan aplikasi .

Amalan Penting

• Tiada keluaran 1.x yang ditampal wujud setakat 26 Julai 2026. Tiga mitigasi di atas adalah satu-satunya pilihan yang tersedia .
• Eksploit memerlukan corak penggunaan Spring Boot fat-JAR tertentu — ini mengecilkan jejak letupan dunia sebenar tetapi masih meninggalkan sejumlah besar aplikasi Spring Boot perusahaan terdedah .
• Beberapa penyenaraian CVE awal (cth., cve.radio) pada mulanya menyatakan "tiada eksploitasi awam dilaporkan," tetapi maklumat itu kini lapuk memandangkan laporan yang disahkan daripada Imperva, ThreatBook, dan Threadlinqs .