【漏洞通告】Apache PyFory 反序列化策略绕过漏洞(CVE-2026-48207)

深瞳漏洞实验室
深瞳漏洞实验室

深信服千里目安全技术中心

2026年5月29日 18:07
北京

在小说阅读器读本章

去阅读

漏洞名称：

Apache PyFory 反序列化策略绕过漏洞(CVE-2026-48207)

组件名称：

Apache PyFory

影响范围：

0.13.0 ≤ Apache PyFory < 1.0.0

漏洞类型：

反序列化

利用条件：

1、用户认证：无需用户认证

2、前置条件：

• 开启 Python-native 原生反序列化功能;

• 关闭 strict 严格校验模式;

• 依赖 DeserializationPolicy 限制不安全类、函数或模块属性的访问控制。

3、触发方式：远程

综合评价：

<综合评定利用难度>：中等，需要服务器端启用上述配置才可代码执行。

<综合评定威胁等级>：高危，可构造反序列化数据造成代码执行。

官方解决方案：

已发布

漏洞分析

组件介绍

Apache Fory 是一款高性能的跨语言序列化框架，采用JIT编译与零拷贝技术，支持 Java、Python、Go、JavaScript、Rust、C++ 和 Dart 等多种编程语言，旨在为大规模分布式系统、RPC 调用、缓存及数据分析场景提供高效的序列化方案。PyFory 是其 Python 语言实现版本，可作为 pickle/cloudpickle 的即插即用替代品，支持 Python 原生对象序列化、跨语言数据交换及零拷贝行格式，能够将 Python 对象高效转换为紧凑的二进制数据，并确保在不同语言环境下的兼容传输。

漏洞描述

2026年5月29日，深瞳漏洞实验室监测到一则Apache PyFory组件存在反序列化漏洞的信息，漏洞编号：CVE-2026-48207，漏洞威胁等级：高危。

Apache PyFory 存在反序列化策略绕过漏洞，当应用开启“Python原生模式”并关闭严格模式时，内部的ReduceSerializer在反序列化过程中处理Python的\\_reduce\\_协议时，未能正确执行预设的DeserializationPolicy安全策略。这导致攻击者可以绕过类、函数加载的黑白名单限制，通过构造恶意序列化数据调用危险函数，最终造成远程代码执行。

影响范围

目前受影响的Apache PyFory版本：

0.13.0 ≤ Apache PyFory < 1.0.0

解决方案

官方修复建议

官方已发布最新版本修复该漏洞，建议受影响用户更新到最新版本。
下载链接：https://fory.apache.org/download

临时修复建议

• 关闭未使用的功能模块，减少潜在攻击入口。

• 遵循最小权限原则，严控各类敏感操作权限范围。

• 非必要不暴露服务到公网，限制访问源为可信范围。

• 定期更新系统及各类组件至安全版本，及时修补已知隐患。

深信服解决方案

漏洞主动检测

支持对Apache PyFory 反序列化策略绕过漏洞(CVE-2026-48207)的主动检测，可批量快速检出业务场景中是否存在漏洞风险，相关产品如下：

【深信服云镜YJ】预计2026年06月05日发布检测方案，规则ID:SF-2026-00919。

【深信服可拓展检测响应平台XDR】预计2026年06月05日发布检测方案（需要具备云镜组件能力），规则ID:SF-2026-00919。

参考链接

https://fory.apache.org/security/#cve-2026-48207-pyfory-reduceserializer-deserializationpolicy-bypass

时间轴

2026/05/29

深瞳漏洞实验室监测到Apache PyFory 反序列化策略绕过漏洞信息。

2026/05/29

深瞳漏洞实验室发布漏洞通告。

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。