Критическая уязвимость в Fastjson: атаки без аутентификации и патча

• Идентификатор: CVE-2026-16723, опубликована 23 июля 2026 года .
• Оценка CVSS: 9,0 (Critical), вектор CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — сетевая атака, без привилегий, без взаимодействия с пользователем, с изменением области действия и высоким влиянием на конфиденциальность, целостность и доступность .
• Затронутые версии: Fastjson 1.2.68–1.2.83 (последний стандартный релиз 1.x). Патча для 1.x со стороны Alibaba нет .
• Раскрытие: Исследователь Кирилл Фирсов из FearsOff Cybersecurity сообщил об уязвимости около 19 июля 2026 года. Полные технические детали и рабочий PoC-код были опубликованы публично .

Особенности эксплуатации

Данная уязвимость кардинально отличается от предыдущих проблем Fastjson:

• AutoType не требуется: В отличие от более ранних RCE в Fastjson, эта уязвимость работает со стандартной конфигурацией — включать AutoType не нужно .
• Гаджеты не нужны: Эксплойт не зависит от наличия сторонних классов-гаджетов в classpath .
• Без аутентификации и действий пользователя: Неаутентифицированный злоумышленник может отправить специально сформированный JSON-запрос по сети и получить RCE .

Условия эксплуатации

Уязвимость действует не во всех сценариях использования Fastjson. Требуется одновременное выполнение следующих условий :

1. Используется Fastjson 1.2.68–1.2.83.
2. Приложение развёрнуто как исполняемый fat-JAR Spring Boot (запуск командой java -jar приложение.jar).
3. SafeMode отключён (это настройка по умолчанию).
4. Внешние JSON-данные достигают точки входа парсера Fastjson (например, JSON.parse или JSON.parseObject).

Стандартные развёртывания JAR (не fat-JAR), WAR на Tomcat/Jetty, а также универсальные uber-JAR не уязвимы .

Подтверждённое влияние: Spring Boot 2.x–4.x на JDK 8–21. Уязвимость находится в самой библиотеке Fastjson, а не в JDK, поэтому все поддерживаемые версии JDK с уязвимой версией Fastjson подвержены риску .

Активная эксплуатация в реальных атаках

• Целевые регионы: По данным ThreatBook и Imperva, атаки направлены в первую очередь на организации в США .
• Отрасли: Финансовые услуги, здравоохранение, ИТ и ритейл .
• Хронология: Атаки начались примерно в течение суток после раскрытия информации (19–20 июля 2026 года) .
• Индикаторы компрометации: Threadlinqs Intelligence отслеживает 23 индикатора компрометации и 9 правил обнаружения (Splunk SPL, Microsoft KQL, Sigma) .

Рекомендации по защите (патча нет)

Поскольку Alibaba не выпустила исправленную версию Fastjson 1.x, организациям необходимо немедленно применить один из следующих методов защиты :

1. Включить SafeMode — Установите системное свойство JVM -Dfastjson.parser.safeMode=true. Это отключает десериализацию произвольных классов .
2. Использовать специальную сборку — Замените стандартный артефакт на com.alibaba:fastjson:1.2.83_noneautotype, который полностью лишён поддержки AutoType .
3. Мигрировать на Fastjson 2.x — Fastjson 2.x архитектурно не подвержен данному типу атак и является рекомендуемым долгосрочным решением .

Дополнительные меры обнаружения: Мониторинг логов на предмет подозрительных значений @type, вложенных JAR-URL в полезной нагрузке JSON, а также неожиданных исходящих сетевых соединений от серверов приложений .

Важные замечания

• Исправленной версии Fastjson 1.x не существует по состоянию на 26 июля 2026 года. Три указанные выше меры — единственные доступные варианты .
• Эксплойт требует специфической конфигурации развёртывания Spring Boot fat-JAR, что сужает радиус поражения, но всё равно оставляет уязвимыми огромное количество корпоративных приложений .
• Некоторые ранние источники (например, cve.radio) указывали «нет подтверждённой эксплуатации», но эти данные устарели в свете подтверждённых отчётов от Imperva, ThreatBook и Threadlinqs .