【已复现】Fastjson 1.2.83 远程代码执行漏洞(QVD-2026-43021)安全风险通告第二次更新

奇安信CERT
奇安信CERT

代码卫士

2026年7月21日 15:06
北京

在小说阅读器读本章

去阅读

● 点击↑蓝字关注我们，获取更多安全风险通告

01

漏洞详情

>>>>

影响组件

Fastjson 是阿里巴巴开源的一款高性能 Java JSON 解析库，以其出色的解析速度和简洁的 API 设计在国内Java生态系统中占据主导地位，广泛应用于企业后端服务、微服务网关、数据接口层等核心业务场景。该库支持将 Java 对象序列化为 JSON 字符串，以及将 JSON 字符串反序列化为 Java 对象，提供了丰富的配置选项和扩展能力，被大量国内企业和开发者集成到各类 Web 应用、API 接口和中间件系统中，是 Java 领域使用最广泛的 JSON 处理组件之一。

>>>>

漏洞描述

近日，奇安信CERT监测到Fastjson 远程代码执行漏洞(QVD-2026-43021)，该漏洞源于 Fastjson 在处理 @type 类型信息时，内部类型校验逻辑存在缺陷。在特定运行环境下，攻击者可构造携带恶意 @type 的 JSON 载荷，通过网络请求传入目标服务，诱导目标应用访问并加载攻击者控制的远程类资源，从而触发远程代码执行。该漏洞可突破传统 AutoType 黑白名单防护机制，利用过程不依赖目标服务 classpath 中存在第三方 gadget 类。因此，传统的删除危险依赖、更新黑名单等防御手段无法完全消除风险。未开启 SafeMode 的 Fastjson 实例在满足特定条件时可能受到攻击，尤其是使用 Spring Boot fat-jar、JDK 8、Fastjson <= 1.2.83，且服务器允许出站访问外部 HTTP 服务的场景风险较高。攻击者无需获取账号权限、无需用户交互，即可通过构造恶意 JSON 请求触发漏洞。漏洞成功利用后，可能导致目标服务器执行任意命令，进而造成业务数据泄露、恶意程序植入、内网横向移动、核心业务系统受控等严重后果。鉴于漏洞影响范围广、利用门槛低，请客户尽快自查并部署缓解方案。

本次更新内容：

新增复现截图；

新增产线解决方案。

>>>>

利用条件

1. 使用 Fastjson <=  1.2.83；

2. 应用会解析攻击者可控的 JSON 数据；

3. 运行环境使用可解析 jar:http 资源的 ClassLoader，例如 Spring Boot LaunchedURLClassLoader；

4. JDK 8 环境下可能触发 RCE，JDK 9+ 场景下更可能表现为 SSRF；

5. 目标服务器允许出站访问攻击者控制的 HTTP 服务。

02

影响范围

>>>>

影响版本

Fastjson 1.x <= 1.2.83

>>>>

其他受影响组件

无

03

复现情况

目前，奇安信威胁情报中心安全研究员已成功复现Fastjson 1.2.83 远程代码执行漏洞(QVD-2026-43021)，截图如下：

04

处置建议

>>>>

安全更新

官方暂未发布 1.x 系列的修复补丁。最根本的解决方案是评估业务影响后，将 Fastjson 迁移至不受此漏洞影响的 Fastjson 2.x 版本，以规避1.x系列存在的安全漏洞与反序列化风险。

升级地址:

https://github.com/alibaba/fastjson2

注意: 升级前请务必备份数据，按官方迁移指南调整 API 调用及配置，并在测试环境完成功能与性能验证，确保业务兼容性。

临时缓解措施：

启用安全模式 (SafeMode)：这是最有效的临时缓解方案，可以完全禁用 AutoType 功能。

代码配置：ParserConfig.getGlobalInstance().setSafeMode(true);

JVM 参数：-Dfastjson.parser.safeMode=true

配置文件：fastjson.parser.safeMode=true

>>>>

产品解决方案

奇安信网神网络数据传感器系统产品检测方案****

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：8243，建议用户尽快升级检测规则库至2607211200以上；

奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.0721.15086或以上版本。规则ID及规则名称：

0x10022941，Fastjson 1.2.83代码执行漏洞。奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

奇安信开源卫士已支持

奇安信开源卫士20260721.1430版本已支持对 Fastjson 1.2.83 远程代码执行漏洞(QVD-2026-43021)的检测。

奇安信自动化渗透测试系统检测方案

奇安信自动化渗透测试系统已经能够有效检测针对该漏洞的攻击，请将插件版本和指纹版本升级到202607242579以上版本。规则名称：Fastjson 1.2.83 远程代码执行漏洞(QVD-2026-43021)。奇安信自动化渗透测试系统规则升级方法：系统管理->升级管理->插件升级（指纹升级），选择“网络升级”或“本地升级”。

05

参考资料

[1]https://x.com/k\_firsov/status/2078872293745570032

06

时间线

2026年07月20日，奇安信 CERT发布安全风险通告。

2026年07月21日，奇安信 CERT发布安全风险通告第二次更新。

07

漏洞情报服务

「奇安信漏洞情报平台」重磅上线，诚邀您来体验：

开源卫士试用地址：https://oss.qianxin.com/#/login

代码卫士试用地址：https://sast.qianxin.com/#/login

推荐阅读

热门Fastjson 中出现高危RCE漏洞

【漏洞预警】FastJson远程代码执行漏洞安全预警通告

转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 \"赞” 吧~