CVE-2026-16723: Kritisk Fastjson RCE-sårbarhet under aktiv utnyttelse – ingen tilgjengelig oppdatering

• CVE-ID: CVE-2026-16723, publisert 23. juli 2026 .
• CVSS-score: 9.0 (kritisk), vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H – nettverksbasert, ingen rettigheter kreves, ingen brukerinteraksjon, endret omfang, høy konfidensialitet/tilgjengelighet/integritetspåvirkning .
• Berørte versjoner: Fastjson 1.2.68 til 1.2.83 (den siste standard 1.x-utgivelsen). Ingen oppdatert 1.x-bygg er utgitt av Alibaba .
• Offentliggjøring: Kirill Firsov fra FearsOff Cybersecurity avslørte feilen rundt 19. juli 2026. Fullstendige tekniske detaljer og fungerende proof-of-concept-kode har siden blitt publisert offentlig .

Utnyttelsesegenskaper

Denne sårbarheten skiller seg fra tidligere Fastjson-utnyttelser på tre viktige måter:

• Ingen AutoType kreves: I motsetning til tidligere Fastjson RCE-feil, fungerer denne sårbarheten under standard konfigurasjon – AutoType trenger ikke å være aktivert .
• Ingen klassebanegadgets kreves: Utnyttelsen er ikke avhengig av tredjeparts gadget-klasser på klassebanen .
• Ingen autentisering, ingen brukerinteraksjon: En uautentisert angriper kan sende en skreddersydd JSON-nyttelast over nettverket og oppnå RCE uten noen brukerhandling .

Berørt distribusjonskonfigurasjon

Utnyttelsen er ikke universell for all Fastjson-bruk. Den krever alle følgende betingelser :

1. Fastjson 1.2.68–1.2.83 i bruk.
2. Applikasjon distribuert som en Spring Boot executable fat-JAR.
3. SafeMode deaktivert (dette er standard).
4. Eksternt kontrollert JSON når et Fastjson-parser-inngangspunkt (f.eks. JSON.parse, JSON.parseObject).

Standard ikke-fat-JAR-distribusjoner, WAR-distribusjoner på Tomcat/Jetty og generiske uber-JARs er ikke berørt .

Bekreftet påvirkning: Spring Boot 2.x–4.x på tvers av JDK 8 til JDK 21. Sårbarheten ligger i selve Fastjson-biblioteket, ikke i JDK, så alle støttede JDK-versjoner med sårbar Fastjson er i faresonen .

Aktiv utnyttelse i det fri

• Observert målretting: ThreatBook og Imperva har observert aktiv utnyttelse som primært retter seg mot US-baserte organisasjoner .
• Bransjer under angrep: Finansielle tjenester, helsevesen, data/teknologi og detaljhandel .
• Tidslinje: Angripere begynte å utnytte feilen innen omtrent én dag etter offentliggjøring (19.–20. juli 2026) .
• IOC-er tilgjengelige: Threadlinqs Intelligence sporer 23 kompromissindikatorer og 9 deteksjonsregler (Splunk SPL, Microsoft KQL, Sigma) .

Anbefalte mottiltak (ingen oppdatering tilgjengelig)

Siden Alibaba ikke har utgitt en oppdatert 1.x Fastjson-utgivelse, må organisasjoner bruke en av følgende løsninger :

1. Aktiver SafeMode – Sett JVM-systemegenskapen -Dfastjson.parser.safeMode=true. Dette deaktiverer all deserialisering av vilkårlige klasser .
2. Bruk den begrensede bygget – Erstatt standard artefakt med com.alibaba:fastjson:1.2.83_noneautotype, et spesialbygg som fjerner all AutoType-støtte .
3. Migrer til Fastjson 2.x – Fastjson 2.x er arkitektonisk immun mot denne typen angrep og anbefales som langsiktig løsning .

Ytterligere deteksjonsveiledning: Overvåk logger for mistenkelige @type-verdier, nestede JAR-URL-er i JSON-nyttelaster, og uventede utgående nettverksforbindelser fra applikasjonsservere .

Viktige forbehold

• Ingen oppdatert 1.x-utgivelse eksisterer per 26. juli 2026. De tre mottiltakene ovenfor er de eneste tilgjengelige alternativene .
• Utnyttelsen krever det spesifikke Spring Boot fat-JAR-distribusjonsmønsteret – dette begrenser den reelle skadepotensialet, men etterlater fortsatt et svært stort antall bedrifters Spring Boot-applikasjoner eksponert .
• Noen tidlige CVE-oppføringer (f.eks. cve.radio) oppga opprinnelig "ingen offentlig utnyttelse rapportert," men denne informasjonen er nå utdatert gitt bekreftede rapporter fra Imperva, ThreatBook og Threadlinqs .