Критическая RCE-уязвимость в Fastjson 1.x: что нужно знать российским разработчикам и администраторам

CVE-2026-16723 — это критическая уязвимость удалённого выполнения кода (RCE) в библиотеке Alibaba Fastjson 1.x версий 1.2.68–1.2.83, получившая оценку CVSS 9.0. Все ключевые утверждения из вашего запроса подтверждаются авторитетными источниками — государственными базами уязвимостей и отчётами вендоров безопасности, однако некоторые детали, касающиеся поверхности атаки, требуют важных оговорок.

Обзор уязвимости

• Идентификатор CVE: CVE-2026-16723, опубликован 23 июля 2026 г. .
• Оценка CVSS: 9.0 (Critical), вектор CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — атака по сети, без привилегий и взаимодействия с пользователем, с изменением области действия и высоким влиянием на конфиденциальность, целостность и доступность .
• Затронутые версии: Fastjson 1.2.68 – 1.2.83 (последний стандартный релиз 1.x). Патча для 1.x от Alibaba не выпущено .
• Раскрытие: Кирилл Фирсов из FearsOff Cybersecurity сообщил об уязвимости около 19 июля 2026 г. Полные технические детали и рабочий PoC-код были опубликованы публично .

Особенности эксплуатации

• Не требуется AutoType: В отличие от предыдущих RCE в Fastjson, данная уязвимость работает в стандартной конфигурации — AutoType включать не нужно .
• Не требуются гаджеты в classpath: Для эксплуатации не нужны сторонние гаджет-классы .
• Без аутентификации и действий пользователя: Неаутентифицированный злоумышленник может отправить специально сформированный JSON-запрос по сети и получить RCE .

Условия для атаки

Эксплуатация возможна не во всех случаях использования Fastjson. Требуется одновременное выполнение следующих условий :

1. Используется Fastjson 1.2.68–1.2.83.
2. Приложение развёрнуто как исполняемый fat-JAR Spring Boot.
3. SafeMode отключён (значение по умолчанию).
4. Внешний JSON достигает точки входа парсера Fastjson (например, JSON.parse, JSON.parseObject).

Стандартные non-fat JAR, WAR-развёртывания на Tomcat/Jetty и обычные uber-JAR не уязвимы .

• Подтверждённое влияние: Spring Boot 2.x–4.x на JDK 8–21. Уязвимость находится в самой библиотеке Fastjson, а не в JDK, поэтому все поддерживаемые версии JDK с уязвимым Fastjson находятся под угрозой .

Активная эксплуатация в реальных атаках

• Цели: ThreatBook и Imperva зафиксировали активную эксплуатацию, направленную в первую очередь на организации в США .
• Отрасли под атакой: Финансовые услуги, здравоохранение, IT и ритейл .
• Временная шкала: Атаки начались примерно через сутки после публичного раскрытия (19–20 июля 2026 г.) .
• IOC: Threadlinqs Intelligence отслеживает 23 индикатора компрометации и 9 правил обнаружения (Splunk SPL, Microsoft KQL, Sigma) .

Рекомендации по защите (патча нет)

Поскольку Alibaba не выпустила патч для Fastjson 1.x, организациям необходимо применить одну из следующих временных мер :

1. Включить SafeMode — установить системное свойство JVM -Dfastjson.parser.safeMode=true. Это отключает десериализацию произвольных классов .
2. Использовать ограниченную сборку — заменить стандартный артефакт на com.alibaba:fastjson:1.2.83_noneautotype, специальную сборку без поддержки AutoType .
3. Мигрировать на Fastjson 2.x — архитектура Fastjson 2.x не подвержена данному типу атак и является рекомендуемым долгосрочным решением .

Дополнительные меры обнаружения: Мониторинг логов на подозрительные значения @type, вложенные JAR-URL в JSON-нагрузках и неожиданные исходящие сетевые соединения от серверов приложений .

Важные оговорки

• По состоянию на 26 июля 2026 г. патча для Fastjson 1.x не существует. Доступны только три вышеуказанные меры защиты .
• Эксплойт требует специфической конфигурации развёртывания Spring Boot fat-JAR — это сужает реальную зону поражения, но всё равно оставляет уязвимым огромное количество корпоративных Spring Boot-приложений .
• Некоторые ранние записи CVE (например, cve.radio) изначально указывали «нет сообщений о публичной эксплуатации», но эта информация устарела с учётом подтверждённых отчётов от Imperva, ThreatBook и Threadlinqs .