CVE-2026-16723: Kritieke Fastjson RCE-kwetsbaarheid actief misbruikt — geen patch beschikbaar

• CVE-ID: CVE-2026-16723, gepubliceerd op 23 juli 2026 .
• CVSS-score: 9.0 (Kritiek), vector CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — netwerkgebaseerd, geen privileges vereist, geen gebruikersinteractie, gewijzigde scope, hoge impact op vertrouwelijkheid, beschikbaarheid en integriteit .
• Getroffen versies: Fastjson 1.2.68 tot en met 1.2.83 (de nieuwste standaard 1.x-release). Er is geen gepatchte 1.x-build door Alibaba uitgebracht .
• Openbaarmaking: Kirill Firsov van FearsOff Cybersecurity onthulde de fout op of rond 19 juli 2026. Volledige technische details en een werkende proof-of-concept-code zijn sindsdien openbaar gemaakt .

Kenmerken van de exploitatie

Deze kwetsbaarheid wijkt op drie belangrijke punten af van eerdere Fastjson-exploits:

• Geen AutoType vereist: In tegenstelling tot eerdere Fastjson RCE's werkt deze kwetsbaarheid onder de standaardconfiguratie – AutoType hoeft niet te zijn ingeschakeld .
• Geen classpath-gadgets vereist: De exploit is niet afhankelijk van aanwezige gadget-klassen op het classpath .
• Geen authenticatie, geen gebruikersinteractie: Een niet-geauthenticeerde aanvaller kan een aangepaste JSON-payload over het netwerk sturen en RCE bereiken zonder enige gebruikersactie .

Configuratie van getroffen implementaties

De exploit is niet universeel voor alle Fastjson-gebruik. Het vereist alle volgende voorwaarden :

1. Fastjson 1.2.68–1.2.83 in gebruik.
2. De applicatie is geïmplementeerd als een Spring Boot uitvoerbare fat-JAR.
3. SafeMode is uitgeschakeld (dit is de standaardinstelling).
4. Extern gecontroleerde JSON bereikt een Fastjson-parser-ingangspunt (bijv. JSON.parse, JSON.parseObject).

Standaard niet-fat JAR-implementaties, WAR-implementaties op Tomcat/Jetty en generieke uber-JAR's worden niet getroffen .

Bevestigde impact: Spring Boot 2.x tot en met 4.x op JDK 8 tot en met JDK 21. De kwetsbaarheid zit in de Fastjson-bibliotheek zelf, niet in de JDK, dus alle ondersteunde JDK-versies met een kwetsbare Fastjson lopen risico .

Actieve exploitatie in het wild

• Waargenomen doelwitten: ThreatBook en Imperva hebben actieve exploitatie waargenomen die zich voornamelijk richt op Amerikaanse organisaties .
• Sectoren die worden aangevallen: Financiële dienstverlening, gezondheidszorg, computer/technologie en retail .
• Tijdlijn: Aanvallers begonnen de kwetsbaarheid ongeveer een dag na de openbaarmaking te misbruiken (19–20 juli 2026) .
• IOC's beschikbaar: Threadlinqs Intelligence volgt 23 indicatoren van compromittering en 9 detectieregels (Splunk SPL, Microsoft KQL, Sigma) .

Aanbevolen mitigaties (geen patch beschikbaar)

Aangezien Alibaba geen gepatchte 1.x Fastjson-release heeft uitgebracht, moeten organisaties een van de volgende workarounds toepassen :

1. SafeMode inschakelen — Stel de JVM-systeemeigenschap -Dfastjson.parser.safeMode=true in. Dit schakelt alle deserialisatie van willekeurige klassen uit .
2. De restricted build gebruiken — Vervang het standaard artefact door com.alibaba:fastjson:1.2.83_noneautotype, een speciale build die de AutoType-ondersteuning volledig verwijdert .
3. Migreren naar Fastjson 2.x — Fastjson 2.x is architecturaal immuun voor dit type aanval en wordt aanbevolen als langetermijnoplossing .

Aanvullende detectierichtlijnen: Controleer logs op verdachte @type-waarden, geneste JAR-URL's in JSON-payloads en onverwachte uitgaande netwerkverbindingen vanaf applicatieservers .

Belangrijke kanttekeningen

• Er is per 26 juli 2026 geen gepatchte 1.x-release beschikbaar. De drie bovenstaande mitigaties zijn de enige beschikbare opties .
• De exploit vereist het specifieke Spring Boot fat-JAR-implementatiepatroon – dit verkleint de reële schaal van de impact, maar laat nog steeds een zeer groot aantal bedrijfs-Spring Boot-applicaties blootgesteld .
• Sommige vroege CVE-registraties (bijv. cve.radio) stelden aanvankelijk "geen openbare exploitatie gemeld", maar die informatie is nu achterhaald gezien de bevestigde rapporten van Imperva, ThreatBook en Threadlinqs .