CVE-2026-16723: Kritieke Fastjson RCE-kwetsbaarheid actief misbruikt — geen patch beschikbaar
CVE 2026 16723 is een kritieke remote code execution kwetsbaarheid in Alibaba Fastjson versies 1.2.68 t/m 1.2.83 met een CVSS score van 9.0; exploitatie vereist geen AutoType, geen classpath gadgets en geen authentica... Omdat Alibaba geen gepatchte 1.x build heeft uitgebracht, moeten organisaties direct SafeMode in...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
CVE 2026 16723 is een kritieke remote code execution kwetsbaarheid in Alibaba Fastjson versies 1.2.68 t/m 1.2.83 met een CVSS score van 9.0; exploitatie vereist geen AutoType, geen classpath gadgets en geen authentica...
Omdat Alibaba geen gepatchte 1.x build heeft uitgebracht, moeten organisaties direct SafeMode inschakelen ( Dfastjson.parser.safeMode=true), de restricted build 1.2.83 noneautotype gebruiken of migreren naar Fastjson...
De exploit is niet universeel: alleen Spring Boot fat JAR implementaties met uitgeschakelde SafeMode en door de aanvaller gecontroleerde JSON die de Fastjson parser bereikt, zijn kwetsbaar.
Actieve aanvallen zijn waargenomen op Amerikaanse organisaties in de financiële dienstverlening, gezondheidszorg, technologie en retail.
Search & fact-check with cited sources for What are the details of the critical actively exploited remote code execution vulnerability (CVE-Conceptual representation of the CVE-2026-16723 critical remote code execution vulnerability in Alibaba Fastjson. AI-generated image.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the details of the critical actively exploited remote code execution vulnerability (CVE-. Article summary: CVE-2026-16723 is a critical, actively exploited remote code execution vulnerability in Alibaba Fastjson 1.x versions 1.2.68 through 1.2.83, carrying a CVSS 9.0 score. All the major claims you listed are confirmed by aut. Topic tags: general, government, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text,
openai.com
CVE-2026-16723 is een kritieke, actief misbruikte remote code execution (RCE)-kwetsbaarheid in Alibaba Fastjson 1.x, versies 1.2.68 tot en met 1.2.83, met een CVSS-score van 9.0. Beveiligingsbedrijven hebben bevestigd dat er actieve misbruikgaande aanvallen plaatsvinden in het wild en er is eind juli 2026 nog geen gepatchte 1.x-release beschikbaar van Alibaba .
Overzicht van de kwetsbaarheid
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CVE-2026-16723: Kritieke Fastjson RCE-kwetsbaarheid actief misbruikt — geen patch beschikbaar"?
CVE 2026 16723 is een kritieke remote code execution kwetsbaarheid in Alibaba Fastjson versies 1.2.68 t/m 1.2.83 met een CVSS score van 9.0; exploitatie vereist geen AutoType, geen classpath gadgets en geen authentica...
What are the key points to validate first?
CVE 2026 16723 is een kritieke remote code execution kwetsbaarheid in Alibaba Fastjson versies 1.2.68 t/m 1.2.83 met een CVSS score van 9.0; exploitatie vereist geen AutoType, geen classpath gadgets en geen authentica... Omdat Alibaba geen gepatchte 1.x build heeft uitgebracht, moeten organisaties direct SafeMode inschakelen ( Dfastjson.parser.safeMode=true), de restricted build 1.2.83 noneautotype gebruiken of migreren naar Fastjson...
What should I do next in practice?
De exploit is niet universeel: alleen Spring Boot fat JAR implementaties met uitgeschakelde SafeMode en door de aanvaller gecontroleerde JSON die de Fastjson parser bereikt, zijn kwetsbaar.
CVE-2026-16723: Kritieke Fastjson RCE-kwetsbaarheid actief misbruikt — geen patch beschikbaar
CVE 2026 16723 is een kritieke remote code execution kwetsbaarheid in Alibaba Fastjson versies 1.2.68 t/m 1.2.83 met een CVSS score van 9.0; exploitatie vereist geen AutoType, geen classpath gadgets en geen authentica... Omdat Alibaba geen gepatchte 1.x build heeft uitgebracht, moeten organisaties direct SafeMode in...
Gepubliceerd doorBewerkt met DeepSeek-V4-FlashAfbeeldingen gegenereerd met GPT Image 1.5
CVE 2026 16723 is een kritieke remote code execution kwetsbaarheid in Alibaba Fastjson versies 1.2.68 t/m 1.2.83 met een CVSS score van 9.0; exploitatie vereist geen AutoType, geen classpath gadgets en geen authentica...
Omdat Alibaba geen gepatchte 1.x build heeft uitgebracht, moeten organisaties direct SafeMode inschakelen ( Dfastjson.parser.safeMode=true), de restricted build 1.2.83 noneautotype gebruiken of migreren naar Fastjson...
De exploit is niet universeel: alleen Spring Boot fat JAR implementaties met uitgeschakelde SafeMode en door de aanvaller gecontroleerde JSON die de Fastjson parser bereikt, zijn kwetsbaar.
Actieve aanvallen zijn waargenomen op Amerikaanse organisaties in de financiële dienstverlening, gezondheidszorg, technologie en retail.
Search & fact-check with cited sources for What are the details of the critical actively exploited remote code execution vulnerability (CVE-Conceptual representation of the CVE-2026-16723 critical remote code execution vulnerability in Alibaba Fastjson. AI-generated image.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What are the details of the critical actively exploited remote code execution vulnerability (CVE-. Article summary: CVE-2026-16723 is a critical, actively exploited remote code execution vulnerability in Alibaba Fastjson 1.x versions 1.2.68 through 1.2.83, carrying a CVSS 9.0 score. All the major claims you listed are confirmed by aut. Topic tags: general, government, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text,
openai.com
CVE-2026-16723 is een kritieke, actief misbruikte remote code execution (RCE)-kwetsbaarheid in Alibaba Fastjson 1.x, versies 1.2.68 tot en met 1.2.83, met een CVSS-score van 9.0. Beveiligingsbedrijven hebben bevestigd dat er actieve misbruikgaande aanvallen plaatsvinden in het wild en er is eind juli 2026 nog geen gepatchte 1.x-release beschikbaar van Alibaba .
Overzicht van de kwetsbaarheid
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "CVE-2026-16723: Kritieke Fastjson RCE-kwetsbaarheid actief misbruikt — geen patch beschikbaar"?
CVE 2026 16723 is een kritieke remote code execution kwetsbaarheid in Alibaba Fastjson versies 1.2.68 t/m 1.2.83 met een CVSS score van 9.0; exploitatie vereist geen AutoType, geen classpath gadgets en geen authentica...
What are the key points to validate first?
CVE 2026 16723 is een kritieke remote code execution kwetsbaarheid in Alibaba Fastjson versies 1.2.68 t/m 1.2.83 met een CVSS score van 9.0; exploitatie vereist geen AutoType, geen classpath gadgets en geen authentica... Omdat Alibaba geen gepatchte 1.x build heeft uitgebracht, moeten organisaties direct SafeMode inschakelen ( Dfastjson.parser.safeMode=true), de restricted build 1.2.83 noneautotype gebruiken of migreren naar Fastjson...
What should I do next in practice?
De exploit is niet universeel: alleen Spring Boot fat JAR implementaties met uitgeschakelde SafeMode en door de aanvaller gecontroleerde JSON die de Fastjson parser bereikt, zijn kwetsbaar.
CVE-ID: CVE-2026-16723, gepubliceerd op 23 juli 2026 .
CVSS-score: 9.0 (Kritiek), vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — netwerkgebaseerd, geen privileges vereist, geen gebruikersinteractie, gewijzigde scope, hoge impact op vertrouwelijkheid, beschikbaarheid en integriteit .
Getroffen versies: Fastjson 1.2.68 tot en met 1.2.83 (de nieuwste standaard 1.x-release). Er is geen gepatchte 1.x-build door Alibaba uitgebracht .
Openbaarmaking: Kirill Firsov van FearsOff Cybersecurity onthulde de fout op of rond 19 juli 2026. Volledige technische details en een werkende proof-of-concept-code zijn sindsdien openbaar gemaakt .
Kenmerken van de exploitatie
Deze kwetsbaarheid wijkt op drie belangrijke punten af van eerdere Fastjson-exploits:
Geen AutoType vereist: In tegenstelling tot eerdere Fastjson RCE's werkt deze kwetsbaarheid onder de standaardconfiguratie – AutoType hoeft niet te zijn ingeschakeld .
Geen classpath-gadgets vereist: De exploit is niet afhankelijk van aanwezige gadget-klassen op het classpath .
Geen authenticatie, geen gebruikersinteractie: Een niet-geauthenticeerde aanvaller kan een aangepaste JSON-payload over het netwerk sturen en RCE bereiken zonder enige gebruikersactie .
Configuratie van getroffen implementaties
De exploit is niet universeel voor alle Fastjson-gebruik. Het vereist alle volgende voorwaarden :
Fastjson 1.2.68–1.2.83 in gebruik.
De applicatie is geïmplementeerd als een Spring Boot uitvoerbare fat-JAR.
SafeMode is uitgeschakeld (dit is de standaardinstelling).
Extern gecontroleerde JSON bereikt een Fastjson-parser-ingangspunt (bijv. JSON.parse, JSON.parseObject).
Standaard niet-fat JAR-implementaties, WAR-implementaties op Tomcat/Jetty en generieke uber-JAR's worden niet getroffen .
Bevestigde impact: Spring Boot 2.x tot en met 4.x op JDK 8 tot en met JDK 21. De kwetsbaarheid zit in de Fastjson-bibliotheek zelf, niet in de JDK, dus alle ondersteunde JDK-versies met een kwetsbare Fastjson lopen risico .
Actieve exploitatie in het wild
Waargenomen doelwitten: ThreatBook en Imperva hebben actieve exploitatie waargenomen die zich voornamelijk richt op Amerikaanse organisaties.
Sectoren die worden aangevallen: Financiële dienstverlening, gezondheidszorg, computer/technologie en retail .
Tijdlijn: Aanvallers begonnen de kwetsbaarheid ongeveer een dag na de openbaarmaking te misbruiken (19–20 juli 2026) .
IOC's beschikbaar: Threadlinqs Intelligence volgt 23 indicatoren van compromittering en 9 detectieregels (Splunk SPL, Microsoft KQL, Sigma) .
Aanbevolen mitigaties (geen patch beschikbaar)
Aangezien Alibaba geen gepatchte 1.x Fastjson-release heeft uitgebracht, moeten organisaties een van de volgende workarounds toepassen :
SafeMode inschakelen — Stel de JVM-systeemeigenschap -Dfastjson.parser.safeMode=true in. Dit schakelt alle deserialisatie van willekeurige klassen uit .
De restricted build gebruiken — Vervang het standaard artefact door com.alibaba:fastjson:1.2.83_noneautotype, een speciale build die de AutoType-ondersteuning volledig verwijdert .
Migreren naar Fastjson 2.x — Fastjson 2.x is architecturaal immuun voor dit type aanval en wordt aanbevolen als langetermijnoplossing .
Aanvullende detectierichtlijnen: Controleer logs op verdachte @type-waarden, geneste JAR-URL's in JSON-payloads en onverwachte uitgaande netwerkverbindingen vanaf applicatieservers .
Belangrijke kanttekeningen
Er is per 26 juli 2026 geen gepatchte 1.x-release beschikbaar. De drie bovenstaande mitigaties zijn de enige beschikbare opties .
De exploit vereist het specifieke Spring Boot fat-JAR-implementatiepatroon – dit verkleint de reële schaal van de impact, maar laat nog steeds een zeer groot aantal bedrijfs-Spring Boot-applicaties blootgesteld .
Sommige vroege CVE-registraties (bijv. cve.radio) stelden aanvankelijk "geen openbare exploitatie gemeld", maar die informatie is nu achterhaald gezien de bevestigde rapporten van Imperva, ThreatBook en Threadlinqs .
CVE-ID: CVE-2026-16723, gepubliceerd op 23 juli 2026 .
CVSS-score: 9.0 (Kritiek), vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — netwerkgebaseerd, geen privileges vereist, geen gebruikersinteractie, gewijzigde scope, hoge impact op vertrouwelijkheid, beschikbaarheid en integriteit .
Getroffen versies: Fastjson 1.2.68 tot en met 1.2.83 (de nieuwste standaard 1.x-release). Er is geen gepatchte 1.x-build door Alibaba uitgebracht .
Openbaarmaking: Kirill Firsov van FearsOff Cybersecurity onthulde de fout op of rond 19 juli 2026. Volledige technische details en een werkende proof-of-concept-code zijn sindsdien openbaar gemaakt .
Kenmerken van de exploitatie
Deze kwetsbaarheid wijkt op drie belangrijke punten af van eerdere Fastjson-exploits:
Geen AutoType vereist: In tegenstelling tot eerdere Fastjson RCE's werkt deze kwetsbaarheid onder de standaardconfiguratie – AutoType hoeft niet te zijn ingeschakeld .
Geen classpath-gadgets vereist: De exploit is niet afhankelijk van aanwezige gadget-klassen op het classpath .
Geen authenticatie, geen gebruikersinteractie: Een niet-geauthenticeerde aanvaller kan een aangepaste JSON-payload over het netwerk sturen en RCE bereiken zonder enige gebruikersactie .
Configuratie van getroffen implementaties
De exploit is niet universeel voor alle Fastjson-gebruik. Het vereist alle volgende voorwaarden :
Fastjson 1.2.68–1.2.83 in gebruik.
De applicatie is geïmplementeerd als een Spring Boot uitvoerbare fat-JAR.
SafeMode is uitgeschakeld (dit is de standaardinstelling).
Extern gecontroleerde JSON bereikt een Fastjson-parser-ingangspunt (bijv. JSON.parse, JSON.parseObject).
Standaard niet-fat JAR-implementaties, WAR-implementaties op Tomcat/Jetty en generieke uber-JAR's worden niet getroffen .
Bevestigde impact: Spring Boot 2.x tot en met 4.x op JDK 8 tot en met JDK 21. De kwetsbaarheid zit in de Fastjson-bibliotheek zelf, niet in de JDK, dus alle ondersteunde JDK-versies met een kwetsbare Fastjson lopen risico .
Actieve exploitatie in het wild
Waargenomen doelwitten: ThreatBook en Imperva hebben actieve exploitatie waargenomen die zich voornamelijk richt op Amerikaanse organisaties.
Sectoren die worden aangevallen: Financiële dienstverlening, gezondheidszorg, computer/technologie en retail .
Tijdlijn: Aanvallers begonnen de kwetsbaarheid ongeveer een dag na de openbaarmaking te misbruiken (19–20 juli 2026) .
IOC's beschikbaar: Threadlinqs Intelligence volgt 23 indicatoren van compromittering en 9 detectieregels (Splunk SPL, Microsoft KQL, Sigma) .
Aanbevolen mitigaties (geen patch beschikbaar)
Aangezien Alibaba geen gepatchte 1.x Fastjson-release heeft uitgebracht, moeten organisaties een van de volgende workarounds toepassen :
SafeMode inschakelen — Stel de JVM-systeemeigenschap -Dfastjson.parser.safeMode=true in. Dit schakelt alle deserialisatie van willekeurige klassen uit .
De restricted build gebruiken — Vervang het standaard artefact door com.alibaba:fastjson:1.2.83_noneautotype, een speciale build die de AutoType-ondersteuning volledig verwijdert .
Migreren naar Fastjson 2.x — Fastjson 2.x is architecturaal immuun voor dit type aanval en wordt aanbevolen als langetermijnoplossing .
Aanvullende detectierichtlijnen: Controleer logs op verdachte @type-waarden, geneste JAR-URL's in JSON-payloads en onverwachte uitgaande netwerkverbindingen vanaf applicatieservers .
Belangrijke kanttekeningen
Er is per 26 juli 2026 geen gepatchte 1.x-release beschikbaar. De drie bovenstaande mitigaties zijn de enige beschikbare opties .
De exploit vereist het specifieke Spring Boot fat-JAR-implementatiepatroon – dit verkleint de reële schaal van de impact, maar laat nog steeds een zeer groot aantal bedrijfs-Spring Boot-applicaties blootgesteld .
Sommige vroege CVE-registraties (bijv. cve.radio) stelden aanvankelijk "geen openbare exploitatie gemeld", maar die informatie is nu achterhaald gezien de bevestigde rapporten van Imperva, ThreatBook en Threadlinqs .
