【漏洞复现】Fastjson 1.2.83远程代码执行漏洞

数字人才创研院

2026年7月22日 06:52
江苏

在小说阅读器读本章

去阅读

以下文章来源于禾盾安全应急响应中心
，作者HDSRC

禾盾安全应急响应中心
.

禾盾安全应急响应中心，简称HDSRC，致力于发布重要安全漏洞的预警、最新的威胁事件分析与漏洞风险提示、相关威胁情报与安全研究成果共享。

点击上方蓝字关注我们

漏洞预警

01

漏洞基本概述

Vulnerability Overview

01

Fastjson是阿里巴巴开源的一款高性能 Java JSON 解析库，以其出色的解析速度和简洁的 API 设计在国内Java生态系统中占据主导地位。

【风险等级】极 危

【CVE编号】无

2026年7月19日，禾盾安全应急响应中心监测到该漏洞，经分析，攻击者可通过构造包含特定字段的JSON字符串，利用Fastjson的AutoType支持机制加载远程恶意文件，从而在目标服务器上执行任意代码。建议受影响的用户尽快修复，与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

02

漏洞影响范围

Vulnerability Impact

01

Fastjson 1.2.66-1.2.83

03

漏洞修复方案

Vulnerability Fixes

01

目前官方已发布修复版本，建议用户及时确认产品版本，尽快采取修补措施。

注：其它建议

1.启用安全模式 (SafeMode)，可以完全禁用 AutoType 功能。

2.Spring Boot 3.2 重写了嵌套 jar Loader，类名与 URL 处理变化，公开链结论需重新验证，不能直接套用。

‍‍‍‍‍‍‍下载链接：

https://github.com/alibaba/fastjson

04

漏洞参考链接

Vulnerability Fixes Link

01

https://github.com/alibaba/fastjson2

05

漏洞时间滚轴

Vulnerability Time

发现时间#2026年07月19日

验证时间#2026年07月20日

通告时间#2026年07月21日

HD

禾盾安全应急响应中心

以技术为驱动，以安全专家为核心，以诚信为本、以专业为先、以坚持为恒，围绕漏洞生态体系打造集漏洞监测、漏洞收集、漏洞挖掘、漏洞分析、漏洞管理、专家响应、漏洞预警、安全服务定制化于一体的漏洞安全一站式服务，帮助客户防患于未然，在降低资产风险的同时，大幅提升客户对漏洞感知、预警、分析等响应能力，为国家、政企客户、用户抢占风险预警处置先机，提升网络安全主动防护能力。

HD

获取更多最新情报

建议您订阅「禾盾安全-漏洞情报」服务，及时获取更多漏洞情报详情以及处置建议，让您的单位真正远离漏洞威胁。

电话：177-128-77993

邮箱：[email protected]