CVE-2026-16723: критична RCE-вразливість Fastjson активно експлуатується зловмисниками

• CVE ID: CVE-2026-16723, опубліковано 23 липня 2026 року .
• Рейтинг CVSS: 9.0 (критичний), вектор CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H — мережевий доступ, без привілеїв, без взаємодії з користувачем, змінена область дії, високий вплив на конфіденційність/цілісність/доступність .
• Уражені версії: Fastjson 1.2.68–1.2.83 (останній стандартний реліз 1.x). Жодної виправленої версії 1.x від Alibaba не випущено .
• Розкриття: Дослідник Кирило Фірсов з FearsOff Cybersecurity повідомив про проблему 19 липня 2026 року або близько цієї дати. Повні технічні деталі та робочий PoC-код оприлюднені у відкритому доступі .

Характеристики експлойту

Ця вразливість суттєво відрізняється від попередніх експлойтів Fastjson за трьома ознаками:

• AutoType не потрібен: На відміну від попередніх RCE у Fastjson, ця вразливість спрацьовує за стандартної конфігурації — AutoType не потрібно вмикати .
• Сторонні гаджети не потрібні: Експлойт не залежить від наявності будь-яких сторонніх класів-гаджетів у classpath .
• Без автентифікації та взаємодії: Неавтентифікований зловмисник може надіслати шкідливий JSON-пакет мережею та отримати RCE без жодних дій з боку користувача .

Необхідні умови для експлуатації

Уразливість не є універсальною. Для її використання потрібні всі перелічені умови :

1. Використання Fastjson версій 1.2.68–1.2.83.
2. Застосунок розгорнуто як виконуваний fat-JAR Spring Boot.
3. SafeMode вимкнено (це стандартне налаштування).
4. Зовнішній, контрольований зловмисником JSON потрапляє до парсера Fastjson (наприклад, JSON.parse, JSON.parseObject).

Стандартні JAR-розгортання, WAR-файли на Tomcat/Jetty та звичайні uber-JAR не є уразливими .

Підтверджений вплив: Spring Boot 2.x–4.x на JDK 8–21. Вразливість знаходиться в самій бібліотеці Fastjson, а не в JDK, тому всі версії JDK з уразливою версією Fastjson під загрозою .

Активна експлуатація в реальних умовах

• Жертви: Компанії ThreatBook та Imperva спостерігають атаки, спрямовані в першу чергу на організації в США .
• Галузі під ударом: Фінансові послуги, охорона здоров'я, комп'ютерні та інформаційні технології, роздрібна торгівля .
• Часова лінія: Зловмисники почали експлуатувати вразливість приблизно через день після її розкриття (19–20 липня 2026 року) .
• Індикатори компрометації (IOC): Компанія Threadlinqs Intelligence відстежує 23 IOC та надає 9 правил виявлення (Splunk SPL, Microsoft KQL, Sigma) .

Рекомендовані дії (патч відсутній)

Оскільки Alibaba не випустила виправлення для Fastjson 1.x, організаціям необхідно застосувати один із наведених нижче обхідних заходів :

1. Увімкнути SafeMode: Додати системну властивість JVM -Dfastjson.parser.safeMode=true. Це повністю вимикає десеріалізацію довільних класів .
2. Використати обмежену збірку: Замінити стандартний артефакт на com.alibaba:fastjson:1.2.83_noneautotype — спеціальну збірку, яка повністю позбавлена підтримки AutoType .
3. Мігрувати на Fastjson 2.x: Fastjson 2.x архітектурно несприйнятливий до такого типу атак і є рекомендованим довгостроковим рішенням .

Додаткові поради з виявлення: Перевіряйте логи на наявність підозрілих значень @type, вкладених URL-адрес JAR у JSON-пакетах та неочікуваних вихідних мережевих з'єднань з серверів застосунків .

Ключові застереження

• Патча для Fastjson 1.x не існує станом на 26 липня 2026 року. Три вищезазначені дії є єдиними доступними варіантами .
• Експлойт працює лише за специфічної конфігурації розгортання Spring Boot fat-JAR, що звужує коло потенційних жертв, але все одно залишає величезну кількість корпоративних Spring Boot застосунків незахищеними .
• Деякі ранні списки CVE (наприклад, cve.radio) спочатку повідомляли про відсутність публічної експлуатації, але ця інформація вже застаріла з огляду на підтверджені звіти Imperva, ThreatBook та Threadlinqs .