Kritisk Fastjson-sårbarhet (CVE-2026-16723) utnyttjas aktivt – ingen patch finns

CVE-2026-16723 är en kritisk, aktivt utnyttjad sårbarhet för fjärrexekvering av kod i Alibaba Fastjson 1.x, versionerna 1.2.68 till och med 1.2.83, med ett CVSS-betyg på 9,0. Säkerhetsföretag har bekräftat aktiv exploatering ute i det vilda, och från och med slutet av juli 2026 har Alibaba inte släppt någon patched 1.x-version .

Sårbarhetsöversikt

• CVE-ID: CVE-2026-16723, publicerad 23 juli 2026 .
• CVSS-poäng: 9,0 (Kritisk), vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H – nätverksbaserad, inga privilegier krävs, ingen användarinteraktion, ändrad omfattning, hög konfidentialitets-/integritets-/tillgänglighetspåverkan .
• Drabbade versioner: Fastjson 1.2.68 till och med 1.2.83 (den senaste standard 1.x-versionen). Ingen patched 1.x-version har släppts av Alibaba .
• Avslöjande: Kirill Firsov på FearsOff Cybersecurity avslöjade sårbarheten omkring den 19 juli 2026. Fullständiga tekniska detaljer och fungerande konceptbeviskod har sedan dess publicerats offentligt .

Exploateringsegenskaper

Denna sårbarhet bryter mönstret från tidigare Fastjson-exploateringar på tre viktiga sätt:

• Inget AutoType krävs: Till skillnad från tidigare Fastjson-RCE:er fungerar denna sårbarhet med standardkonfigurationen – AutoType behöver inte aktiveras .
• Inga klasspattsgadgets krävs: Exploateringen är inte beroende av att några tredjeparts-gadget-klasser finns på klasspatten .
• Ingen autentisering, ingen användarinteraktion: En oautentiserad angripare kan skicka en skräddarsydd JSON-nyttolast över nätverket och uppnå RCE utan att någon användare agerar .

Påverkade distributionskonfigurationer

Exploateringen är inte universell för all användning av Fastjson. Den kräver samtliga av följande villkor :

1. Fastjson 1.2.68–1.2.83 används.
2. Applikationen distribueras som en Spring Boot exekverbar fat-JAR.
3. SafeMode är inaktiverat (vilket är standard).
4. Externt kontrollerad JSON når en Fastjson-tolkningsstartpunkt (t.ex. JSON.parse, JSON.parseObject).

Standarddistributioner som inte är fat-JAR, WAR-distributioner på Tomcat/Jetty och generiska uber-JARs påverkas inte .

Bekräftad påverkan: Spring Boot 2.x–4.x på JDK 8 till och med JDK 21. Sårbarheten finns i själva Fastjson-biblioteket, inte i JDK, så alla JDK-versioner som använder sårbar Fastjson är i riskzonen .

Aktiv exploatering i det vilda

• Observerad målinriktning: ThreatBook och Imperva har observerat aktiv exploatering som främst riktar sig mot USA-baserade organisationer .
• Branscher under attack: Finansiella tjänster, sjukvård, datorer/teknik och detaljhandel .
• Tidslinje: Angripare började utnyttja sårbarheten inom ungefär ett dygn efter avslöjandet (19–20 juli 2026) .
• IOC:er tillgängliga: Threadlinqs Intelligence spårar 23 kompromissindikatorer och 9 detekteringsregler (Splunk SPL, Microsoft KQL, Sigma) .

Rekommenderade åtgärder (ingen patch tillgänglig)

Eftersom Alibaba inte har släppt en patched 1.x Fastjson-version måste organisationer tillämpa en av följande lösningar :

1. Aktivera SafeMode – Ställ in JVM-systemegenskapen -Dfastjson.parser.safeMode=true. Detta inaktiverar all deserialisering av godtyckliga klasser .
2. Använd den begränsade versionen – Ersätt standardartefakten med com.alibaba:fastjson:1.2.83_noneautotype, en specialversion som helt tar bort AutoType-stöd .
3. Migrera till Fastjson 2.x – Fastjson 2.x är arkitektoniskt immun mot denna typ av attack och är den rekommenderade långsiktiga lösningen .

Ytterligare detekteringsvägledning: Övervaka loggar efter misstänkta @type-värden, kapslade JAR-URL:er i JSON-nyttolaster och oväntade utgående nätverksanslutningar från applikationsservrar .

Viktiga förbehåll

• Ingen patched 1.x-version finns från och med 26 juli 2026. De tre åtgärderna ovan är de enda tillgängliga alternativen .
• Exploateringen kräver den specifika Spring Boot fat-JAR-distributionsmodellen – detta begränsar den verkliga omfattningen men lämnar fortfarande ett mycket stort antal företags Spring Boot-applikationer exponerade .
• Vissa tidiga CVE-listor (t.ex. cve.radio) angav initialt "ingen offentlig exploatering rapporterad", men den informationen är nu inaktuell med tanke på bekräftade rapporter från Imperva, ThreatBook och Threadlinqs .