FastJson-RCE-Zero-Day wird gegen US-Organisationen ausgenutzt

Hacker nutzen aktiv eine RCE-Zero-Day-Schwachstelle in FastJson aus, die ihnen die Ausführung von Code aus der Ferne auf anfälligen Java-Anwendungen ermöglichen kann.

Die als CVE-2026-16723 verfolgte Schwachstelle betrifft die FastJson-Versionen 1.2.68 bis 1.2.83. Forscher haben Angriffe auf Organisationen in den USA aus den Bereichen Finanzdienstleistungen, Gesundheitswesen, IT, Einzelhandel und weiteren Branchen beobachtet.

Eine kleinere Zahl von Angriffen richtete sich auch gegen Organisationen in Singapur und Kanada. Die Forscher gehen jedoch davon aus, dass sich die Kampagne weiter ausbreiten wird.

Schwachstelle betrifft gängige Spring-Boot-Installationen

FastJson ist eine Open-Source-Java-Bibliothek, die Java-Objekte in JSON serialisiert und JSON-Daten wieder in Java-Objekte umwandelt. Das Projekt wurde von Alibaba entwickelt und wird weiterhin häufig in Unternehmenssoftware eingesetzt.

Laut Alibaba können Angreifer CVE-2026-16723 im gängigsten Bereitstellungsmodell von Spring Boot ausnutzen. Eine anfällige Anwendung muss als ausführbare Spring Boot Fat JAR laufen und beispielsweise mit einem Befehl wie java -jar gestartet werden.

Der Angriff erfordert weder eine Benutzerinteraktion noch erhöhte Berechtigungen.

Forscher stellten fest, dass das Problem in der Typauflösungslogik von FastJson liegt. Die Bibliothek kann von Angreifern kontrollierte Ressourcenabfragen durchführen, bevor ihre AutoType-Beschränkungen greifen.

Dadurch können Angreifer schädliche Klassen aus der Ferne laden und ausführen.

Angreifer können AutoType-Beschränkungen umgehen

Die FastJson-RCE-Zero-Day-Schwachstelle beruht auf dem Missbrauch der @type-Verarbeitung der Bibliothek.

Forscher zeigten, dass Angreifer schädlichen Code selbst dann ausführen können, wenn AutoType deaktiviert ist. Sie benötigen außerdem keine Gadget Chains von Drittanbietern, die bei Java-Deserialisierungsangriffen häufig eine Rolle spielen.

Auch die Angabe einer Zielklasse während der Deserialisierung schützt eine betroffene Anwendung nicht. Angreifer können schädliche Payloads in Feldern platzieren, die die Typen Object oder Map verwenden.

Das macht die Schwachstelle besonders gefährlich für Organisationen, die nicht vertrauenswürdige JSON-Daten mit anfälligen FastJson-Versionen verarbeiten.

Derzeit ist kein Sicherheitsupdate verfügbar

Alibaba hat den kritischen Schweregrad von CVE-2026-16723 bestätigt, bislang jedoch keinen Patch veröffentlicht.

FastJson 1.x wird nicht mehr aktiv gepflegt. Daher ist es möglich, dass für den betroffenen Entwicklungszweig überhaupt kein Sicherheitsupdate mehr erscheint.

FastJson 1.2.60 und ältere Versionen sind von der Schwachstelle nicht betroffen. Auch Installationen, die nicht das Spring-Boot-Fat-JAR-Modell verwenden, sind nicht anfällig.

Fastjson2 ist ebenfalls nicht betroffen, da es bei der polymorphen Deserialisierung einen Allowlist-First-Ansatz verwendet. Außerdem behandelt es die @JSONType-Annotation nicht als Vertrauenssignal.

Entwickler sollten die Gefährdung sofort reduzieren

Entwickler, die FastJson in den Versionen 1.2.68 bis 1.2.83 einsetzen, sollten umgehend handeln.

Alibaba empfiehlt, SafeMode zu aktivieren oder auf eine nicht betroffene Version umzusteigen. Wo möglich, sollten Organisationen FastJson 1.x vollständig ersetzen und zu Fastjson2 oder einer anderen unterstützten JSON-Bibliothek wechseln.

Teams sollten außerdem öffentlich erreichbare Spring-Boot-Fat-JAR-Anwendungen identifizieren, die nicht vertrauenswürdige Daten verarbeiten. Protokolle sollten auf ungewöhnliche Deserialisierungsaktivitäten, unerwartete ausgehende Verbindungen und verdächtiges Laden von Klassen überprüft werden.

Da die Schwachstelle bereits aktiv ausgenutzt wird, können Verzögerungen bei den Schutzmaßnahmen dazu führen, dass anfällige Anwendungen weiterhin einer vollständigen Kompromittierung des Servers ausgesetzt sind.