CVE-2026-16723：Fastjson 1.x 远程代码执行漏洞预警

CVE-2026-16723 是阿里巴巴 Fastjson 1.x 版本（1.2.68 至 1.2.83）中的一个严重远程代码执行漏洞，CVSS 评分为 9.0。安全公司已确认该漏洞正被积极利用，且截至 2026 年 7 月下旬，阿里巴巴尚未发布针对 1.x 系列的官方修补版本 。

漏洞概述

• CVE 编号：CVE-2026-16723，于 2026 年 7 月 23 日发布 。
• CVSS 评分：9.0（严重），攻击媒介为 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H，意味着攻击向量为网络，无需权限，无需用户交互，影响范围已改变（牵连其他组件），对机密性、完整性和可用性均造成严重影响 。
• 受影响版本：Fastjson 1.2.68 至 1.2.83（最新的标准 1.x 版本）。阿里巴巴尚未发布任何修补的 1.x 版本 。
• 披露细节：该漏洞由 FearsOff Cybersecurity 公司的 Kirill Firsov 于 2026 年 7 月 19 日左右披露。此后，完整的技术细节及可用的概念验证（PoC）代码已被公开发布 。

利用特性

此漏洞在以下三个方面区别于以往的 Fastjson 漏洞：

• 无需启用 AutoType：与之前的 Fastjson 漏洞不同，此漏洞在库的默认配置下即可工作，无需用户主动开启 AutoType 。
• 无需第三方 Gadget：利用该漏洞时，攻击者无需在 Java 类路径上准备任何第三方辅助类（Gadget Classes） 。
• 无需认证与用户交互：未经身份验证的攻击者可通过网络发送一个特制的 JSON 包，并实现远程代码执行，过程中完全不需要用户进行任何操作 。

受影响部署条件

此攻击并非影响所有使用 Fastjson 的场景。它需要满足以下全部条件才能成功 ：

1. 使用了 Fastjson 1.2.68 至 1.2.83 版本。
2. 应用程序以 Spring Boot 可执行 fat-JAR 形式部署。
3. SafeMode 处于关闭状态（默认即为关闭）。
4. 外部可控的 JSON 数据能被传递到 Fastjson 的解析入口（如 JSON.parse、JSON.parseObject）。

标准的非 fat-JAR 部署、基于 Tomcat/Jetty 的 WAR 包部署以及通用的 uber-JAR 均不受影响 。

• 已确认影响范围：Spring Boot 2.x 至 4.x 版本，同时涵盖 JDK 8 至 JDK 21。由于漏洞在 Fastjson 库本身而非 JDK 中，因此所有使用了受影响 Fastjson 版本的 JDK 均面临风险 。

在野利用情况

• 攻击目标：威胁情报公司 ThreatBook 和网络安全公司 Imperva 观察到，攻击活动主要针对美国境内的各类组织 。
• 受攻击行业：金融服务业、医疗保健、计算机/科技业以及零售业 。
• 利用时间线：攻击者在漏洞细节披露后约一天内（2026 年 7 月 19 日至 20 日）即开始发起攻击 。
• 检测规则：Threadlinqs 威胁情报服务已跟踪到 23 个入侵指标（IOC）和 9 条检测规则，支持 Splunk SPL、Microsoft KQL 和 Sigma 格式 。

建议的缓解措施（无官方补丁可用）

鉴于阿里巴巴未发布受影响的 1.x 系列补丁，各组织必须采用以下临时解决方案之一进行缓解 ：

1. 启用 SafeMode：在 JVM 系统属性中设置 -Dfastjson.parser.safeMode=true。这将禁用所有任意类的反序列化功能 。
2. 使用受限版本：将标准 Maven 依赖替换为 com.alibaba:fastjson:1.2.83_noneautotype，这是一个完全移除 AutoType 支持的特殊构建版本 。
3. 迁移至 Fastjson 2.x：Fastjson 2.x 在架构上对本次攻击免疫，是推荐的长期迁移方案 。

其他检测指导：建议监视日志中可疑的 @type 值、JSON 包中嵌套的 JAR URL 以及应用服务器发起的非预期出站网络连接 。

重要说明

• 截至 2026 年 7 月 26 日，尚无已修补的 1.x 版本可用。上述三种缓解措施是目前唯一的选择 。
• 由于攻击需要特定的 Spring Boot fat-JAR 部署模式，这对真实世界的影响范围有所限制，但仍有大量企业级 Spring Boot 应用暴露在风险中 。
• 一些早期的 CVE 条目（如 cve.radio）曾声明“尚无公开利用报告”，但鉴于 Imperva、ThreatBook 及 Threadlinqs 均已确认报告，该信息目前已过时 。