CVE-2026-16723: Alibaba Fastjson'da Kritik RCE Açığı Aktif Olarak Kullanılıyor, Yama Yok

CVE-2026-16723, Alibaba Fastjson 1.x sürümlerinin 1.2.68 ile 1.2.83 arasındaki sürümlerini etkileyen, CVSS 9.0 puanına sahip kritik ve aktif olarak sömürülen bir uzaktan kod yürütme (RCE) güvenlik açığıdır. Güvenlik firmaları, bu açığın vahşi ortamda aktif olarak sömürüldüğünü doğrulamış olup, Temmuz 2026 sonu itibarıyla Alibaba tarafından yamalı bir 1.x sürümü yayınlanmamıştır .

Güvenlik Açığına Genel Bakış

• CVE Kimliği: 23 Temmuz 2026'da yayınlanan CVE-2026-16723 .
• CVSS Puanı: 9.0 (Kritik), vektör CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — ağ tabanlı, yetki gerektirmez, kullanıcı etkileşimi yok, kapsam değişti, yüksek gizlilik/kullanılabilirlik/bütünlük etkisi .
• Etkilenen Sürümler: Fastjson 1.2.68 ile 1.2.83 (en son standart 1.x sürümü). Alibaba tarafından yamalı bir 1.x derlemesi yayınlanmamıştır .
• İfşa: FearsOff Cybersecurity'dan Kirill Firsov, bu açığı 19 Temmuz 2026 civarında ifşa etti. Tam teknik detaylar ve çalışan kanıt-kod (PoC) kodu kamuya açıklandı .

İstismar Özellikleri

Bu güvenlik açığı, önceki Fastjson istismarlarından üç önemli şekilde ayrılır:

• AutoType gerekmez: Önceki Fastjson RCE'lerinin aksine, bu açık varsayılan yapılandırma altında çalışır — AutoType'ın etkinleştirilmesi gerekmez .
• Sınıf yolu gadget'ları gerekmez: İstismar, sınıf yolunda herhangi bir üçüncü taraf gadget sınıfının bulunmasına bağlı değildir .
• Kimlik doğrulama veya kullanıcı etkileşimi gerekmez: Kimliği doğrulanmamış bir saldırgan, ağ üzerinden özel hazırlanmış bir JSON yükü gönderebilir ve herhangi bir kullanıcı eylemi olmadan RCE elde edebilir .

Etkilenen Dağıtım Yapılandırması

İstismar, tüm Fastjson kullanımlarında evrensel değildir. Aşağıdaki koşulların tümünü gerektirir :

1. Fastjson 1.2.68–1.2.83 kullanımda.
2. Uygulama bir Spring Boot çalıştırılabilir fat-JAR olarak dağıtılmış.
3. SafeMode devre dışı (varsayılandır).
4. Harici olarak kontrol edilen JSON, bir Fastjson ayrıştırıcı giriş noktasına (örn. JSON.parse, JSON.parseObject) ulaşır.

Standart fat-JAR olmayan dağıtımlar, Tomcat/Jetty'deki WAR dağıtımları ve genel uber-JAR'lar etkilenmez .

Onaylanan etki: JDK 8 ile JDK 21 arasında Spring Boot 2.x–4.x. Güvenlik açığı JDK'da değil, Fastjson kitaplığının kendisindedir, bu nedenle savunmasız Fastjson taşıyan tüm desteklenen JDK sürümleri risk altındadır .

Vahşi Ortamda Aktif İstismar

• Hedef gözlemi: ThreatBook ve Imperva, öncelikle ABD merkezli kuruluşları hedef alan aktif istismar gözlemledi .
• Saldırı altındaki sektörler: Finansal hizmetler, sağlık hizmetleri, bilişim/teknoloji ve perakende .
• Zaman çizelgesi: Saldırganlar, açığı ifşadan yaklaşık bir gün sonra (19–20 Temmuz 2026) kullanmaya başladı .
• Mevcut IOC'ler: Threadlinqs Intelligence, 23 uzlaşma göstergesi (IOC) ve 9 tespit kuralı (Splunk SPL, Microsoft KQL, Sigma) takip ediyor .

Önerilen Azaltma Önlemleri (Yama Yok)

Alibaba yamalı bir 1.x Fastjson sürümü yayınlamadığından, kuruluşlar aşağıdaki geçici çözümlerden birini uygulamalıdır :

1. SafeMode'u Etkinleştirin — -Dfastjson.parser.safeMode=true JVM sistem özelliğini ayarlayın. Bu, rastgele sınıfların tüm seri durumdan çıkarılmasını devre dışı bırakır .
2. Kısıtlı derlemeyi kullanın — Standart yapıyı, AutoType desteğini tamamen kaldıran özel bir derleme olan com.alibaba:fastjson:1.2.83_noneautotype ile değiştirin .
3. Fastjson 2.x'e geçin — Fastjson 2.x, bu tür saldırılara karşı mimari olarak bağışıktır ve önerilen uzun vadeli çözümdür .

Ek tespit kılavuzu: Günlükleri şüpheli @type değerleri, JSON yüklerindeki iç içe JAR URL'leri ve uygulama sunucularından beklenmeyen giden ağ bağlantıları için izleyin .

Önemli Uyarılar

• 26 Temmuz 2026 itibarıyla yamalı bir 1.x sürümü mevcut değildir. Yukarıdaki üç azaltma önlemi mevcut tek seçenektir .
• İstismar, belirli Spring Boot fat-JAR dağıtım modelini gerektirir — bu, gerçek dünyadaki etki alanını daraltır ancak yine de çok sayıda kurumsal Spring Boot uygulamasını açıkta bırakır .
• Bazı erken CVE listeleri (ör. cve.radio) başlangıçta "kamuya açık istismar bildirilmedi" ifadesini kullanmıştı, ancak bu bilgi artık Imperva, ThreatBook ve Threadlinqs'ten gelen onaylanmış raporlar göz önüne alındığında güncelliğini yitirmiştir .