【高危通告】Fastjson 远程代码执行漏洞 CVE-2026-16723 安全通告
TJXFire
2026年10月8日 13:45
江西
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
通告等级：严重｜CVSS 9.0（Alibaba 自评，NVD 收录权威值）｜多家安全厂商已观察到在野利用流量｜受害对象为公网暴露的 Java 应用（含 Spring Boot fat-jar 部署）
全文约 2200 字，预计阅读 6 分钟。本文为防守向拆解，不提供可直接运行的漏洞利用代码。
摘要
Alibaba Fastjson 在 1.2.68 至 1.2.83 版本中存在一处默认配置下可被远程利用的反序列化远程代码执行漏洞（CVE-2026-16723）。该漏洞的最大威胁在于：无需启用 AutoType、无需目标系统存在任何已知 gadget 类，仅凭一段恶意构造的 JSON 请求体即可触发远程代码执行。阿里巴巴官方未发布 1.x 系列的修复版本，仅推荐迁移至 Fastjson 2.x；该漏洞已在多家第三方安全厂商的监测中出现在野利用流量。
一、漏洞档案
| 项目 | 内容 |
|---|---|
| CVE 编号 | CVE-2026-16723 |
| 影响产品 | Alibaba Fastjson（com.alibaba:fastjson） |
| 影响版本 | 1.2.68 ≤ 版本 ≤ 1.2.83（含 1.2.83，1.x 系列最后一个发布版本） |
| 不受影响 | Fastjson 2.x 系列（默认禁用 AutoType） |
| 漏洞类型 | 反序列化不受信任数据（CWE-20 / CWE-502）→ 远程代码执行（RCE） |
| 触发方式 | 网络可达 + 恶构造 JSON 请求体（@type 字段触发的资源查找路径） |
| CVSS 评分 | 9.0（Alibaba 自评，NVD 收录权威值） |
| 认证要求 | 无需认证 （Attack Vector: Network / PR: None / UI: None） |
| 用户交互 | 无需 |
| 在野状态 | 多家安全厂商（ThreatBook 微步、Imperva）观察到攻击流量 ；KEVIntel 标记 Exploited:Yes；CISA KEV 收录状态各源不一致，本文以保守措辞处理 |
| 首次报告者 | Kirill Firsov（FearsOff Cybersecurity） |
| 披露时间 | 2026-07-23（NVD 收录） |
| 官方修复 | 1.x 系列无修复版本 ；官方建议迁移至 Fastjson 2.x，或启用 SafeMode（仅 1.2.68+ 支持） |
| 典型受害场景 | Spring Boot fat-jar 部署的对外 API、对公网暴露 JSON 接口的 Java 微服务 |
二、漏洞原理
1. 触发链路（环节拆解）
本次漏洞的代码路径位于 Fastjson 1.x 的 JSON→Object 反序列化管线中。攻击者向任意调用了 JSON.parse、JSON.parseObject 或等价入口的接口提交一段构造的 JSON 数据，解析器在反序列化过程中会执行以下动作链：
| 环节 | 解析器动作 | 攻击者可控性 |
|---|---|---|
| ① 入口接收 | 读取 JSON 文本与结构性字段 | 完全可控（HTTP 请求体） |
| ② 注解信任 | 解析器以 @JSONType 注解 作为类型解析时的\"信任信号\" | 可通过字段嵌入间接影响 |
| ③ 资源查找 | 依据信任信号触发资源查找，跳过 AutoType 关闭路径 | 可被恶意 JSON 引导 |
| ④ 类型实例化 | 绕过黑/白名单与 SafeMode，进入不安全的对象实例化分支 | 最终落地为任意 Java 代码执行 |
核心机制说明：Imperva 的公开技术分析指出，该漏洞的关键在于 Fastjson 1.x 将\"@JSONType 注解的存在\"作为类型解析时的信任信号；攻击者控制的资源查找 + 注解信任行为组合，绕过了\"关闭 AutoType 即安全\"的传统防御假设。该机制描述属于研究者公开分析，非 Alibaba 官方表述，引用时应注明来源。
2. 为什么这次和以往不一样：默认配置就是致命放大器
| 历史 Fastjson RCE（≤1.2.80 系列） | 本次 CVE-2026-16723 |
|---|---|
| 需开启 AutoType | 默认配置即可利用，无需开启 AutoType |
| 需目标 classpath 存在特定 gadget（如 commons-collections） | 无需任何 gadget 类，依赖类纯净也可被利用 |
| 防御方可通过移除危险依赖 + 黑名单减弱相对匹配 | 传统\"Gadget 检测 / 黑名单\"防御完全失效 |
| 利用门槛较高，多停留在研究/POC 阶段 | 多家安全厂商已观察到公网扫描与攻击流量 |
一句话判断：本次漏洞把 Fastjson 的\"默认配置\"从默认安全姿态直接翻转成默认暴露姿态，影响面覆盖 1.x 全部在用版本，且没有任何后向兼容的官方补丁。
三、在野利用与检测
1. 已观察到的攻击特征（来自第三方安全厂商公开报告）
| 检测方向 | 应关注的具体信号 | 来源 |
|---|---|---|
| HTTP 请求体特征 | JSON Body 中出现 @type 字段 ，尤其涉及 jar:file: / jar:http: / 嵌套对象结构 |
ThreatBook、Imperva 公开报告 |
| 客户端指纹 | 大量请求来自\"浏览器模拟器\"型客户端，约 30% 来源为 Ruby/Go 编写的扫描工具 | Imperva 公开统计 |
| 受影响行业 | 商业服务、计算、金融服务、医疗、零售 等行业的对外 Java 应用 | Imperva 公开统计 |
| 进程行为 | Java 应用进程在收到 JSON 请求后异常派生出 sh / bash / cmd.exe / powershell.exe 子进程 |
通用 RCE 行为信号 |
2. 必须警惕的边界
⚠ 信息边界声明：ThreatBook 与 Imperva 公开报告的是\"观察到的攻击流量 / 尝试行为\"，并未公开足够独立的证据链证实\"已造成真实业务失陷或数据泄漏\"。本文不对未公开/未核验的\"受害规模数字（IP 数 / 国家数 / 受害企业数）\"作具体陈述。CISA KEV 收录状态在不同情报源之间存在不一致，本文以\"多家厂商观察到利用\"作表述，未做 KEV 已收录的硬结论。
四、受影响范围与修复
1. 受影响范围判定
| 自检项 | 判定条件 |
|---|---|
| 是否使用 Fastjson 1.x？ | mvn dependency:tree / gradle dependencies 中出现 com.alibaba:fastjson 且版本 ≥ 1.2.68 且 ≤ 1.2.83 即视为命中 |
| 是否传递依赖？ | 即便顶层 pom.xml 未直接声明，也可能在 Spring Boot Starter、第三方组件中被带入；建议全依赖树扫描 |
| 是否对外暴露 JSON 接口？ | 任何接收不可信 JSON 输入的接口均为攻击暴露面 ，与是否开启 AutoType 无关 |
| 是否已开 SafeMode？ | 1.2.68+ 支持 SafeMode 开启；开启 SafeMode 可阻断本次漏洞链路，但需评估对存量业务的影响 |
2. 修复动作矩阵
| 优先级 | 修复动作 | 适用场景 | 风险点 |
|---|---|---|---|
| P0 优先 | 迁移至 Fastjson 2.x（推荐 2.0.53 及以上） | 具备升级窗口与回归测试条件的业务系统 | 1.x → 2.x 不完全兼容，需做兼容性测试 |
| P1 重要 | 启用 SafeMode（仅 1.2.68+ 支持） 代码：ParserConfig.getGlobalInstance().setSafeMode(true); JVM 参数：-Dfastjson.parser.safeMode=true 配置文件：fastjson.parser.safeMode=true |
短期无法升级，需立即减弱风险敞口 | 会关闭 AutoType，所有依赖 AutoType 反序列化的业务会受影响，必须充分评估 |
| P1 重要 | 使用 noneautotype 版本（与 SafeMode 等效） |
老版本用户兼容加固 | 覆盖版本有限，参考官方发布清单 |
| P2 辅助 | WAF 拦截规则：拦截请求体中 key 含 @type 的 JSON 数据 |
临时性、纵深防御 | 存在编码绕过风险 ，不能作为唯一防线 |
| P2 辅助 | 网络边界收紧：限制应用服务器对外主动外联（LDAP/RMI/HTTP 回调） | 减小失陷后扩散面 | 不修复漏洞本体 |
关于官方补丁：截至本文发稿，Alibaba 未在 1.x 系列推出官方安全更新，仅以\"迁移 2.x + 启用 SafeMode / noneautotype 版本\"作为官方处置路径。任何来源声称\"1.2.84 为官方补丁\"的说法均无 Alibaba 官方页面证据支撑，请以官方公告为准。
五、处置步骤
- 立即盘点
：在所有 Java 应用资产中执行 mvn dependency:tree 或等价命令，识别 com.alibaba:fastjson 版本号，确认是否在 1.2.68 ~ 1.2.83 区间（含传递依赖）。
2. 优先升级
：对具备升级条件的业务系统，迁移至 Fastjson 2.x（推荐 2.0.53+），在测试环境完成功能与性能回归后再上生产。
3. 短期加固
：对无法立即升级的系统，启用 SafeMode 或切换至 noneautotype 版本；启用前必须评估对 AutoType 业务的兼容影响。
4. 边界收紧
：WAF 配置 @type 字段拦截规则（同时覆盖 URL 参数与请求体，注意编码绕过）；限制应用服务器对 LDAP/RMI、非常规 HTTP 回调的外联能力。
5. 持续监测
：审计所有接收不可信 JSON 的端点日志，对 Java 进程派生子进程、外联异常、解析器异常堆栈建立 SIEM 告警；保留原始日志以便事后溯源。
六、几点判断
判断一：默认配置 ≠ 安全配置，这是本次通告必须重写的原则。过往 Fastjson 安全运营的核心命题是\"AutoType 是否开启 / classpath 是否有 gadget\"，本次漏洞把这两个前提全部推翻——只要在用 1.2.68 ~ 1.2.83，默认即暴露。安全运营必须重新审视\"Java 应用默认安全姿态\"的假设。
判断二：官方无 1.x 修复是真正的\"零日\"——不是没人修，而是分支已停。Alibaba 官方建议迁移 2.x 意味着 1.x 系列不会再有后向兼容的官方安全更新；任何还在用 1.x 的系统，要么承担迁移成本，要么用 SafeMode / noneautotype 版本承担业务兼容性风险。没有\"等补丁\"的选项。
判断三：扫描面已在，暴露面越大窗口越短。ThreatBook 与 Imperva 都已观察到公网扫描与攻击尝试；KEVIntel 标记 Exploited:Yes。对于任何对公网暴露 JSON 接口的 1.x 系统，应按\"已失陷未发现\"的安全姿态对待，优先做快照留存、凭据轮换与系统重建评估。
信息来源与核验方式
- Alibaba Fastjson 官方安全通告（GitHub）：
https://github.com/alibaba/fastjson/wiki/security_update_20220523及 fastjson2 安全通告页面（本文撰写时所引用的官方表述以此为准） - NVD：CVE-2026-16723 收录记录
- 工信部网络安全威胁和漏洞信息共享平台（NVDB）监测通报，蚌埠市数据资源管理局转发函
- ThreatBook（微步）公开报告：Fastjson RCE 1.2.83: Active Exploitation Detected
- Imperva 公开报告：CVE-2026-16723: Critical FastJson 1.x Zero-Day RCE
- NSFOCUS 全球 / 绿盟 CERT 公开通告
- KEVIntel：CVE-2026-16723（Exploited:Yes 标记，置信度 70%）
官方确认事实 vs 研究者自报 / 机制描述（信息边界）
| 类别 | 内容 |
|---|---|
| 官方确认事实 | ① 漏洞编号 CVE-2026-16723；② 影响版本 1.2.68 ~ 1.2.83；③ 默认配置可利用，无需 AutoType、无需 gadget；④ Alibaba 1.x 无修复版本；⑤ 处置路径为迁移 2.x 或 SafeMode / noneautotype |
| 研究者自报 / 第三方观察 | ① \"@JSONType 注解作为信任信号\"绕过机制的代码细节（Imperva 公开分析）；② 公网攻击流量与客户端指纹统计（Imperva 观察）；③ 行业分布与地域分布（Imperva / ThreatBook 观察）；④ \"1.2.84 / 2.0.53 已发补丁\"等说法（无 Alibaba 官方页面证据，本文不采用） |
| 未公开 / 未核验 | ① CISA KEV 是否正式收录（情报源间不一致）；② 受害企业数、IP 数、地理分布的精确数字；③ \"已造成真实业务失陷 / 数据泄漏\"的具体案例；④ 与勒索团伙、APT 的关联归因 |
免责声明
本文为防守向安全通告，整理自公开来源并进行多源核对，但不构成对所述漏洞的完整技术披露、攻击代码或漏洞利用示例。文中涉及的 CVSS 评分、版本号、影响范围以官方原始通告为准；具体修复动作请在测试环境验证后再于生产环境执行。因依据本文作出的处置决策而产生的任何直接或间接后果，由决策方自行承担。
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论