CVE-2026-16723：阿里巴巴Fastjson 1.x爆出嚴重RCE漏洞，已有黑客利用，官方仲未有修補

漏洞嘅攻擊特性

呢個漏洞同以往 Fastjson 嘅漏洞好唔同，主要有三個特點：

• 唔需要開 AutoType：有別於以前嘅 Fastjson 漏洞，呢個漏洞喺出廠預設設定之下已經用得，唔使開 AutoType 功能 。
• 唔需要 classpath gadgets：攻擊唔需要依賴任何第三方嘅 gadget 類別存在喺系統嘅 classpath 入面 。
• 唔需要身份驗證同用戶互動：未經身份驗證嘅攻擊者只要送一個特製嘅 JSON 封包過去，就可以做到遠端程式碼執行，完全唔使用家任何動作 。

受影響嘅部署配置

呢個漏洞唔係所有用 Fastjson 嘅系統都中招，佢需要同時符合晒以下條件先會出事 ：

1. 使用緊 Fastjson 1.2.68 至 1.2.83 版本。
2. 應用程式係用 Spring Boot 嘅可執行 fat-JAR 方式部署。
3. SafeMode 係 關閉 狀態（出廠預設就係關閉）。
4. 外部傳入嘅 JSON 數據可以到達 Fastjson 嘅解析入口（例如 JSON.parse、JSON.parseObject）。

一般嘅非 fat-JAR 部署、喺 Tomcat/Jetty 上嘅 WAR 部署、或者普通嘅 uber-JAR 都 唔會 受到影響 。

已確認影響範圍：Spring Boot 2.x 至 4.x，JDK 8 至 JDK 21 都中招。呢個漏洞係 Fastjson 庫本身嘅問題，唔係 JDK 嘅問題，所以只要用咗受影響嘅 Fastjson 版本，無論用邊個 JDK 版本都會有風險 。

現實環境嘅攻擊情況

• 針對目標：ThreatBook 同 Imperva 都觀察到，黑客主要針對 美國嘅機構 發動攻擊 。
• 受攻擊行業：金融服務、醫療保健、科技/電腦同零售業 。
• 攻擊時間線：黑客喺漏洞披露之後大約一日（2026 年 7 月 19 至 20 日）就開始利用佢 。
• 入侵指標 (IOC)：Threadlinqs Intelligence 已經追蹤到 23 個入侵指標，同埋 9 個檢測規則（支援 Splunk SPL、Microsoft KQL、Sigma 格式） 。

建議嘅緩解措施（因為冇修補程式）

由於阿里巴巴冇推出任何 1.x 修補版本，企業一定要做以下其中一項措施 ：

1. 啟用 SafeMode：喺 JVM 系統屬性設定 -Dfastjson.parser.safeMode=true，咁樣會停用所有任意類別嘅反序列化功能 。
2. 用有限制嘅版本：將原本嘅套件換成 com.alibaba:fastjson:1.2.83_noneautotype，呢個係一個特別版本，完全冇晒 AutoType 功能 。
3. 搬去 Fastjson 2.x：Fastjson 2.x 嘅架構本身唔會受到呢類攻擊影響，係建議嘅長遠解決方案 。

額外檢測建議：監控啲系統日誌，留意有冇可疑嘅 @type 值、JSON 入面嘅嵌套 JAR URL，同埋應用程式伺服器有冇異常嘅對外網絡連線 。

重要注意事項

• 截至 2026 年 7 月 26 日，仲未有任何 1.x 修補版本出現，上面講嘅三個緩解措施係目前僅有嘅選擇 。
• 呢個漏洞需要特定嘅 Spring Boot fat-JAR 部署方式先會中招，咁樣縮窄咗現實世界中嘅影響範圍，但係仍然有非常大量嘅企業 Spring Boot 應用程式係暴露喺風險之中 。
• 有啲早期嘅 CVE 列表（例如 cve.radio）最初寫「冇公開嘅攻擊報告」，但係呢個資訊已經過時，因為 Imperva、ThreatBook 同 Threadlinqs 都已經確認有攻擊發生 。