CVE-2026-16723: Alibaba Fastjson'da Kritik RCE Açığı Aktif Olarak Kullanılıyor, Yama Yok

• CVE Kimliği: 23 Temmuz 2026'da yayınlanan CVE-2026-16723 .
• CVSS Puanı: 9.0 (Kritik), vektör CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — ağ tabanlı, yetki gerektirmez, kullanıcı etkileşimi yok, kapsam değişti, yüksek gizlilik/kullanılabilirlik/bütünlük etkisi .
• Etkilenen Sürümler: Fastjson 1.2.68 ile 1.2.83 (en son standart 1.x sürümü). Alibaba tarafından yamalı bir 1.x derlemesi yayınlanmamıştır .
• İfşa: FearsOff Cybersecurity'dan Kirill Firsov, bu açığı 19 Temmuz 2026 civarında ifşa etti. Tam teknik detaylar ve çalışan kanıt-kod (PoC) kodu kamuya açıklandı .

İstismar Özellikleri

Bu güvenlik açığı, önceki Fastjson istismarlarından üç önemli şekilde ayrılır:

• AutoType gerekmez: Önceki Fastjson RCE'lerinin aksine, bu açık varsayılan yapılandırma altında çalışır — AutoType'ın etkinleştirilmesi gerekmez .
• Sınıf yolu gadget'ları gerekmez: İstismar, sınıf yolunda herhangi bir üçüncü taraf gadget sınıfının bulunmasına bağlı değildir .
• Kimlik doğrulama veya kullanıcı etkileşimi gerekmez: Kimliği doğrulanmamış bir saldırgan, ağ üzerinden özel hazırlanmış bir JSON yükü gönderebilir ve herhangi bir kullanıcı eylemi olmadan RCE elde edebilir .

Etkilenen Dağıtım Yapılandırması

İstismar, tüm Fastjson kullanımlarında evrensel değildir. Aşağıdaki koşulların tümünü gerektirir :

1. Fastjson 1.2.68–1.2.83 kullanımda.
2. Uygulama bir Spring Boot çalıştırılabilir fat-JAR olarak dağıtılmış.
3. SafeMode devre dışı (varsayılandır).
4. Harici olarak kontrol edilen JSON, bir Fastjson ayrıştırıcı giriş noktasına (örn. JSON.parse, JSON.parseObject) ulaşır.

Standart fat-JAR olmayan dağıtımlar, Tomcat/Jetty'deki WAR dağıtımları ve genel uber-JAR'lar etkilenmez .

Onaylanan etki: JDK 8 ile JDK 21 arasında Spring Boot 2.x–4.x. Güvenlik açığı JDK'da değil, Fastjson kitaplığının kendisindedir, bu nedenle savunmasız Fastjson taşıyan tüm desteklenen JDK sürümleri risk altındadır .

Vahşi Ortamda Aktif İstismar

• Hedef gözlemi: ThreatBook ve Imperva, öncelikle ABD merkezli kuruluşları hedef alan aktif istismar gözlemledi .
• Saldırı altındaki sektörler: Finansal hizmetler, sağlık hizmetleri, bilişim/teknoloji ve perakende .
• Zaman çizelgesi: Saldırganlar, açığı ifşadan yaklaşık bir gün sonra (19–20 Temmuz 2026) kullanmaya başladı .
• Mevcut IOC'ler: Threadlinqs Intelligence, 23 uzlaşma göstergesi (IOC) ve 9 tespit kuralı (Splunk SPL, Microsoft KQL, Sigma) takip ediyor .

Önerilen Azaltma Önlemleri (Yama Yok)

Alibaba yamalı bir 1.x Fastjson sürümü yayınlamadığından, kuruluşlar aşağıdaki geçici çözümlerden birini uygulamalıdır :

1. SafeMode'u Etkinleştirin — -Dfastjson.parser.safeMode=true JVM sistem özelliğini ayarlayın. Bu, rastgele sınıfların tüm seri durumdan çıkarılmasını devre dışı bırakır .
2. Kısıtlı derlemeyi kullanın — Standart yapıyı, AutoType desteğini tamamen kaldıran özel bir derleme olan com.alibaba:fastjson:1.2.83_noneautotype ile değiştirin .
3. Fastjson 2.x'e geçin — Fastjson 2.x, bu tür saldırılara karşı mimari olarak bağışıktır ve önerilen uzun vadeli çözümdür .

Ek tespit kılavuzu: Günlükleri şüpheli @type değerleri, JSON yüklerindeki iç içe JAR URL'leri ve uygulama sunucularından beklenmeyen giden ağ bağlantıları için izleyin .

Önemli Uyarılar

• 26 Temmuz 2026 itibarıyla yamalı bir 1.x sürümü mevcut değildir. Yukarıdaki üç azaltma önlemi mevcut tek seçenektir .
• İstismar, belirli Spring Boot fat-JAR dağıtım modelini gerektirir — bu, gerçek dünyadaki etki alanını daraltır ancak yine de çok sayıda kurumsal Spring Boot uygulamasını açıkta bırakır .
• Bazı erken CVE listeleri (ör. cve.radio) başlangıçta "kamuya açık istismar bildirilmedi" ifadesini kullanmıştı, ancak bu bilgi artık Imperva, ThreatBook ve Threadlinqs'ten gelen onaylanmış raporlar göz önüne alındığında güncelliğini yitirmiştir .