Fastjson 1.x 爆重大 RCE 漏洞：無需認證與特殊配置，Spring Boot 用戶緊急應對

漏洞利用特性

與過去的 Fastjson 漏洞相比，此漏洞在三方面有重大突破：

• 無需啟用 AutoType：與早期的 Fastjson RCE 漏洞不同，此漏洞在 Fastjson 的預設配置下即可觸發，無需啟用 AutoType 功能 。
• 無需依賴第三方 Gadget 類別：這個漏洞的利用不依賴於類別路徑（classpath）上存在任何第三方 Gadget 類別 。
• 無需認證或用戶互動：未經認證的攻擊者可以透過網路發送特製的 JSON 負載，在無需任何用戶操作的情況下實現遠端程式碼執行 。

受影響的部署配置

此漏洞並非影響所有使用 Fastjson 的情況。它需要同時滿足以下所有條件才能觸發 ：

1. 使用 Fastjson 1.2.68 至 1.2.83 版本。
2. 應用程式以 Spring Boot 可執行的 fat-JAR 形式部署。
3. SafeMode 功能未啟用（此為預設設定）。
4. 外部可控的 JSON 數據能夠送達 Fastjson 解析器的入口點（例如 JSON.parse、JSON.parseObject）。

標準的非 fat-JAR 部署、在 Tomcat/Jetty 上的 WAR 部署以及一般的 uber-JAR 則不受影響 。

確認影響範圍：Spring Boot 2.x 至 4.x 版本，搭配 JDK 8 至 JDK 21。此漏洞存在於 Fastjson 函式庫本身，而非 JDK，因此所有搭載了受影響 Fastjson 版本的 JDK 皆存在風險 。

活躍的野外利用情況

• 目標鎖定：ThreatBook 和 Imperva 已觀察到主要鎖定美國組織的攻擊活動 。
• 受攻擊產業：金融服務、醫療保健、電腦/科技業以及零售業 。
• 時間線：攻擊者在漏洞揭露後約一天內（2026 年 7 月 19 日至 20 日）就開始進行利用 。
• 入侵指標（IOC）：Threadlinqs Intelligence 追蹤到 23 個入侵指標和 9 條偵測規則（支援 Splunk SPL、Microsoft KQL 與 Sigma）。

官方修補程式尚未釋出前的緩解建議

由於阿里巴巴尚未發布 Fastjson 1.x 的修補版本，組織必須採取以下其中一種避險措施 ：

1. 啟用 SafeMode——設定 JVM 系統屬性 -Dfastjson.parser.safeMode=true。這會停用所有任意類別的反序列化功能 。
2. 使用受限版本——用 com.alibaba:fastjson:1.2.83_noneautotype 這個特殊版本取代標準元件，這個版本完全移除了 AutoType 支援 。
3. 遷移至 Fastjson 2.x——Fastjson 2.x 在架構上對此類攻擊具有免疫力，是建議的長期解決方案 。

額外偵測建議：監控日誌中可疑的 @type 值、JSON 負載中的巢狀 JAR URL，以及來自應用程式伺服器的異常對外網路連線 。

重要注意事項

• 截至 2026 年 7 月 26 日，仍無任何修補後的 1.x 版本釋出。上述三項緩解措施是目前僅有的選項 。
• 此漏洞的利用需要特定的 Spring Boot fat-JAR 部署模式——這縮小了實際的影響範圍，但仍然有非常大量的企業級 Spring Boot 應用程式暴露在風險中 。
• 部分早期的 CVE 列表（例如 cve.radio）最初曾標示「無公開的利用報告」，但根據來自 Imperva、ThreatBook 和 Threadlinqs 的確認報告，該資訊現已過時 。