文章总结： Fastjson2<=2.0.62版本存在严重远程代码执行漏洞，评分9.8。漏洞源于AutoType校验逻辑仅验证FNV-1a哈希结果而未充分校验类型名称，攻击者可构造特殊JSON数据绕过白名单执行任意代码。建议开启SafeMode禁用AutoType并过滤@type字段，待官方修复版本发布后及时升级。 综合评分： 87 文章分类： 漏洞分析,安全建设,WEB安全

【漏洞通告】Fastjson2 AutoType校验绕过远程代码执行漏洞

启明星辰安全简讯

2026年7月27日 18:04 北京

在小说阅读器读本章

去阅读

一、漏洞概述

| | | | | | — | — | — | — | | 漏洞名称 | Fastjson2 AutoType校验绕过远程代码执行漏洞 | | | | CVE   ID | 暂无 | | | | 漏洞类型 | RCE | 发现时间 | 2026-7-27 | | 漏洞评分 | 9.8 | 漏洞等级 | 严重 | | 攻击向量 | 网络 | 所需权限 | 无 | | 利用难度 | 低 | 用户交互 | 不需要 | | PoC/EXP | 未公开 | 在野利用 | 未发现 |

Fastjson2是阿里巴巴开源的高性能Java JSON解析库，是Fastjson系列的重构升级版本，提供JSON序列化、反序列化以及丰富的数据处理能力。该组件广泛应用于Java企业应用、微服务系统、接口服务、数据交换平台等场景，具有高性能、低延迟和易集成等特点。

2026年7月27日，启明星辰安全应急响应中心（VSRC）监测到Fastjson2 AutoType校验绕过远程代码执行漏洞。该漏洞存在于Fastjson2的AutoType类型解析流程中，由于默认配置下AutoType校验逻辑对输入类型名称进行FNV-1a哈希匹配时，仅验证哈希结果而未充分校验实际类型名称，攻击者可构造特殊JSON数据绕过类型白名单限制，使恶意类型进入类加载流程并执行任意代码。攻击者无需认证即可通过控制JSON请求触发漏洞，可能导致服务器被完全控制、敏感数据泄露、业务系统被入侵，并对企业数据安全及合规要求造成严重影响。

二、影响范围

Fastjson2 <= 2.0.62（根据互联网公开信息）。

三、安全措施

3.1 升级版本

PR #7695并非正式修复提交，已关闭且未合并至主干，当前已发布版本均不包含修复。建议持续关注官方安全公告，待正式修复版本发布后及时升级。

下载链接：

https://github.com/alibaba/fastjson2/

3.2临时措施

在官方修复版本发布前，建议开启SafeMode禁用AutoType功能（-Dfastjson2.parser.safeMode=true），阻止不可信类型自动解析；同时避免对外部输入的JSON数据进行直接反序列化，对包含@type字段的请求进行过滤，并通过WAF、API网关等安全设备拦截异常JSON请求，以降低漏洞被利用风险。

3.3 通用建议

• 定期更新系统补丁，减少系统漏洞，提升服务器的安全性。
• 加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。
• 使用企业级安全产品，提升企业的网络安全性能。
• 加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。
• 启用强密码策略并设置为定期修改。

3.4参考链接

https://github.com/alibaba/fastjson2/pull/7695

https://github.com/alibaba/fastjson2/issues/7702

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：启明星辰安全简讯 《【漏洞通告】Fastjson2 AutoType校验绕过远程代码执行漏洞》