Firmy ThreatBook i Imperva informują o atakach wykorzystujących krytyczną lukę w Fastjson, bibliotece do obsługi JSON dla języka Java rozwijanej przez Alibaba. Podatność, oznaczona jako CVE-2026-16723, może w określonych aplikacjach Spring Boot umożliwić wykonanie kodu bez uwierzytelnienia, z uprawnieniami procesu Java. Alibaba przypisała jej ocenę 9.0 w skali CVSS. Do 25 lipca 2026 roku nie opublikowano poprawionej wersji gałęzi Fastjson 1.x.
Zakres podatności i warunki ataku
Problem dotyczy wersji Fastjson od 1.2.68 do 1.2.83, ale sama obecność biblioteki w tym zakresie nie wystarcza do potwierdzenia podatności. Według opisu Alibaba potrzebna jest aplikacja Spring Boot uruchamiana jako wykonywalny fat-JAR, dostępna z sieci ścieżka przekazująca dane JSON do podatnego parsera oraz wyłączony SafeMode, który pozostaje domyślnie nieaktywny. Potwierdzony łańcuch nie wymaga włączenia AutoType ani obecności specjalnego gadżetu w ścieżce klas. Alibaba zweryfikowała go w Spring Boot 2.x, 3.x i 4.x oraz na JDK 8, 11, 17 i 21.
- Podatny zakres obejmuje Fastjson 1.2.68, aż do wydania 1.2.83.
- Ryzyko dotyczy określonego sposobu pakowania i ładowania aplikacji Spring Boot.
- Samo wyłączenie AutoType nie eliminuje opisanego łańcucha ataku.
- Długoterminowym rozwiązaniem wskazanym przez Alibaba jest migracja do Fastjson2.
Mechanizm i znaczenie dla aplikacji
Kirill Firsov z FearsOff Cybersecurity, który zgłosił problem w ramach odpowiedzialnego ujawnienia, powiązał go ze ścieżką rozpoznawania typów w Fastjson. Wysokopoziomowo, kontrolowana przez atakującego wartość pola @type może zostać potraktowana jako odwołanie do zasobu klasy. W kompatybilnym wykonywalnym fat-JAR prowadzi to do sytuacji, w której aplikacja może odnaleźć zewnętrzny kod, a określona adnotacja w tym zasobie zostaje uznana za sygnał zaufania. W konsekwencji klasa może przejść kontrole typów i zostać załadowana przez proces Java. Analiza obejmuje także wariant zależny od nowszych wersji JDK, w którym dochodzi do pobrania zdalnego archiwum JAR. Z punktu widzenia obrony ważne jest również to, że przypisanie danych do konkretnej klasy nie musi wystarczyć, jeśli w modelu występują ogólne pola Object lub Map, w których można zagnieździć dalsze dane.
Zakres problemu jest ograniczony przez sposób uruchomienia aplikacji. Alibaba wskazuje jako nieobjęte opisanym łańcuchem zwykłe, niewykonywalne pliki JAR, ogólne uber-JAR-y oraz wdrożenia typu WAR obsługiwane przez Tomcat lub Jetty. Nie oznacza to jednak, że każda aplikacja korzystająca z Fastjson może zostać automatycznie uznana za bezpieczną. Organizacje powinny ocenić faktyczny sposób pakowania, dostępne wejścia JSON i konfigurację parsera, zamiast opierać się wyłącznie na numerze wersji lub typie frameworka.
Zaobserwowana aktywność i brak potwierdzonych włamań
ThreatBook poinformował 22 lipca, że jego platforma wykryła wykorzystanie podatności w rzeczywistych kampaniach po dodaniu odpowiednich reguł detekcji dwa dni wcześniej. Wyniki laboratorium tej firmy były węższe: pełne wykonanie kodu odtworzono w aplikacji Spring Boot działającej jako fat-JAR na JDK 8, natomiast w teście z wbudowanym Tomcatem zaobserwowano jedynie pobranie zdalnego JAR-a lub żądanie wykonywane z serwera. Imperva opisała aktywność wymierzoną między innymi w sektor finansowy, ochronę zdrowia, informatykę i handel. Najwięcej zgłoszeń dotyczyło Stanów Zjednoczonych, a mniejsze wolumeny odnotowano w Singapurze i Kanadzie. Według firmy większość żądań generowały narzędzia podszywające się pod przeglądarki, a narzędzia napisane w Ruby i Go odpowiadały łącznie za około 30 procent ruchu.
Obie firmy nie opublikowały liczby ataków, surowych żądań, dowodów wykonania kodu, nazw ofiar ani potwierdzonych przypadków przejęcia systemów. Ich raporty potwierdzają obserwowaną aktywność związaną z próbami wykorzystania, ale nie stanowią dowodu udanego wykonania kodu przeciwko konkretnemu celowi ani naruszenia danych. Ocena CISA-ADP z 23 lipca oznaczyła wykorzystanie podatności jako niezaobserwowane, a 25 lipca CVE-2026-16723 nadal nie znajdowała się w katalogu Known Exploited Vulnerabilities CISA. Dostępne informacje nie wyjaśniają tej rozbieżności.
Działania do czasu wydania poprawki
Alibaba opublikowała poradnik 21 lipca, po zgłoszeniu Firsova, ale do 25 lipca nie udostępniła poprawionej wersji Fastjson 1.x. W repozytorium GitHub projektu ani w Maven Central nie znaleziono nowego artefaktu naprawiającego tę gałąź. Wersja 1.2.83 pozostaje najnowszym standardowym wydaniem 1.x, lecz obecnie znajduje się w zakresie CVE-2026-16723. Jako działanie przejściowe Alibaba wskazuje włączenie SafeMode za pomocą parametru -Dfastjson.parser.safeMode=true albo użycie com.alibaba:fastjson:1.2.83_noneautotype. Docelowo zalecana jest migracja do Fastjson2, który nie korzysta z tej samej ścieżki rozpoznawania zasobów i zaufania opartego na adnotacjach.
Zespoły bezpieczeństwa powinny zinwentaryzować bezpośrednie i tranzytywne zależności Fastjson oraz sprawdzić, które aplikacje są uruchamiane jako wykonywalne fat-JAR-y. W ramach monitorowania warto zwrócić uwagę na nietypowe wartości @type, odwołania do zagnieżdżonych JAR-ów, niespodziewane połączenia wychodzące, procesy potomne, zmiany plików i pojawienie się web shelli. Fastjson 1.2.83 był wcześniej rekomendowaną aktualizacją po ujawnionym w 2022 roku obejściu AutoType, jednak ta sama wersja znalazła się teraz w zakresie nowej podatności. Do czasu wyjaśnienia planów Alibaba dotyczących linii 1.x organizacje powinny traktować używane konfiguracje i sposób wdrożenia jako kluczowe elementy oceny ryzyka.
