CVE-2026-16723: Krytyczna luka RCE w Fastjson aktywnie wykorzystywana — brak łatki

Charakterystyka eksploitacji

Ta luka różni się od poprzednich eksploitów Fastjson na trzy istotne sposoby:

• Nie wymaga AutoType: W przeciwieństwie do wcześniejszych luk RCE w Fastjson, ta działa przy domyślnej konfiguracji — AutoType nie musi być włączony .
• Nie wymaga gadżetów na classpath: Eksploit nie opiera się na obecności klas gadżetów firm trzecich na ścieżce klas .
• Brak uwierzytelniania i interakcji użytkownika: Nieuwierzytelniony atakujący może wysłać spreparowany ładunek JSON przez sieć i uzyskać RCE bez żadnych działań ze strony użytkownika .

Które konfiguracje są zagrożone?

Eksploit nie jest uniwersalny dla wszystkich zastosowań Fastjson. Wymaga spełnienia wszystkich poniższych warunków :

1. Używany jest Fastjson 1.2.68–1.2.83.
2. Aplikacja jest wdrożona jako wykonywalny fat-JAR Spring Boot.
3. SafeMode jest wyłączony (co jest ustawieniem domyślnym).
4. Zewnętrzne dane JSON trafiają do punktu wejścia parsera Fastjson (np. JSON.parse, JSON.parseObject).

Standardowe wdrożenia niebędące fat-JAR, wdrożenia WAR na Tomcat/Jetty oraz ogólne uber-JARy nie są zagrożone .

Potwierdzony wpływ: Spring Boot 2.x–4.x na JDK 8 do JDK 21. Luka znajduje się w samej bibliotece Fastjson, a nie w JDK, więc wszystkie obsługiwane wersje JDK zawierające podatny Fastjson są narażone na ryzyko .

Aktywna eksploatacja w środowisku produkcyjnym

• Obserwowane cele: ThreatBook i Imperva zaobserwowały aktywną eksploatację wymierzoną głównie w organizacje z siedzibą w USA .
• Sektory branżowe pod atakiem: Usługi finansowe, opieka zdrowotna, informatyka/technologia oraz handel detaliczny .
• Harmonogram: Atakujący zaczęli wykorzystywać lukę w ciągu około jednego dnia od jej ujawnienia (19–20 lipca 2026 r.) .
• Dostępne wskaźniki kompromitacji (IOC): Threadlinqs Intelligence śledzi 23 wskaźniki kompromitacji i 9 reguł detekcji (Splunk SPL, Microsoft KQL, Sigma) .

Zalecane działania łagodzące (brak łatki)

Ponieważ Alibaba nie wydało załatanej wersji 1.x Fastjson, organizacje muszą zastosować jedno z poniższych rozwiązań zastępczych :

1. Włącz SafeMode — Ustaw właściwość systemową JVM -Dfastjson.parser.safeMode=true. Spowoduje to wyłączenie całej deserializacji dowolnych klas .
2. Użyj wersji ograniczonej — Zastąp standardowy artefakt wersją com.alibaba:fastjson:1.2.83_noneautotype, która całkowicie usuwa obsługę AutoType .
3. Migruj do Fastjson 2.x — Fastjson 2.x jest architektonicznie odporny na ten typ ataku i jest zalecanym długoterminowym rozwiązaniem .

Dodatkowe wskazówki dotyczące wykrywania: Monitoruj logi pod kątem podejrzanych wartości @type, zagnieżdżonych adresów URL JAR w ładunkach JSON oraz nieoczekiwanych wychodzących połączeń sieciowych z serwerów aplikacji .

Kluczowe zastrzeżenia

• Od 26 lipca 2026 r. nie istnieje załatana wersja 1.x. Trzy powyższe działania łagodzące to jedyne dostępne opcje .
• Eksploit wymaga konkretnego wzorca wdrożenia Spring Boot fat-JAR — zawęża to rzeczywisty zasięg, ale nadal pozostawia bardzo dużą liczbę firmowych aplikacji Spring Boot narażonych na ryzyko .
• Niektóre wczesne wpisy CVE (np. cve.radio) początkowo stwierdzały "nie zgłoszono publicznej eksploatacji", ale te informacje są już nieaktualne w świetle potwierdzonych raportów od Imperva, ThreatBook i Threadlinqs .