CVE-2026-16723: Lỗ hổng RCE trong Fastjson 1.x bị khai thác nhắm vào Spring Boot fat-JAR
"Attackers are exploiting a critical remote code execution flaw in Fastjson 1.x, tracked as CVE-2026-16723, against Spring Boot fat-JAR applications. The issue affects Fastjson 1.2.68 through 1.2.83 when SafeMode is disabled; no fixed Fastjson 1.x release was available at the time, so mitigations include enabling SafeMode, using the restricted 1.2.83_noneautotype build, or migrating to Fastjson2."
Nguy cơ cao do có thể dẫn tới RCE từ yêu cầu JSON, đặc biệt khi SafeMode bị tắt trong Spring Boot fat-JAR; chuỗi khai thác không yêu cầu classpath gadget theo mô tả công bố.
Tác động vận hành đáng kể vì có khả năng bị chiếm quyền máy chủ và ảnh hưởng các dịch vụ backend; các báo cáo ghi nhận hoạt động nhắm vào nhiều ngành, dù chưa có số liệu công khai về số vụ hay xác nhận xâm nhập thành công.
Các hãng bảo mật cho biết đang có hoạt động khai thác nhắm vào lỗ hổng remote code execution (RCE) trong Fastjson 1.x (thư viện JSON cho Java của Alibaba), được theo dõi dưới CVE-2026-16723. Trong các ứng dụng Spring Boot đóng gói dạng fat-JAR có thể truy cập qua mạng, yêu cầu JSON độc hại có thể thực thi mã từ xa không cần xác thực, với quyền của tiến trình Java.
Chuỗi tấn công được xác nhận liên quan đến Fastjson 1.2.68 đến 1.2.83 khi SafeMode đang để mặc định là tắt. Theo thông tin công bố, không có bản Fastjson 1.x đã vá tại thời điểm 25/07/2026. Các điểm vào được nêu gồm JSON.parse, JSON.parseObject(String) và JSON.parseObject(String, Class); ràng buộc vào lớp cố định chưa đủ nếu payload lồng trong Object/Map.
Khuyến nghị: bật SafeMode qua -Dfastjson.parser.safeMode=true, hoặc sử dụng bản hạn chế com.alibaba:fastjson:1.2.83_noneautotype; đồng thời ưu tiên di chuyển sang Fastjson2. Cần rà soát phụ thuộc trực tiếp và gián tiếp, kiểm tra dấu hiệu như @type khả nghi, URL JAR lồng, kết nối outbound bất thường, tiến trình con/ thay đổi tệp và web shell. Các báo cáo cũng nêu Fastjson2 không bị ảnh hưởng theo cơ chế thăm dò tài nguyên/annotation tương tự.