Fastjson 1.x kritische RCE-Lücke aktiv ausgenutzt, kein Patch vorhanden
Alibaba hat keinen Patch für Fastjson 1.x. Die Schwachstelle CVE-2026-16723 erlaubt unauthentifizierte Remote Code Execution in Spring Boot fat-JAR-Anwendungen. Was Admins jetzt prüfen müssen.
Eine kritische Schwachstelle in Fastjson, der beliebten Java-JSON-Bibliothek von Alibaba, wird aktive ausgenutzt. Die Sicherheitsfirmen ThreatBook und Imperva haben Exploit-Aktivitäten bestätigt. Betroffene Organisationen müssen jetzt handeln, denn bis zum 25. Juli 2026 liegt kein geflickter Patch vor.
Was ist passiert?
Am 21. Juli 2026 veröffentlichte Alibaba ein Sicherheitsadvisory zu CVE-2026-16723. Der Forscher Kirill Firsov von FearsOff Cybersecurity meldete die Lücke im Rahmen eines Responsible-Disclosure-Verfahrens. Die Schwachstelle betrifft Fastjson-Versionen 1.2.68 bis einschließlich 1.2.83. Damit sind alle Fastjson-1.x-Releases betroffen.
Die Kernproblematik liegt in der Typauflösung von Fastjson. Ein Angreifer kann einen gesteuerten @type-Wert so manipulieren, dass dieser als Klassen-Ressourcen-Lesung interpretiert wird. In einem kompatiblen Spring Boot fat-JAR kann ein verschachtelter JAR-Pfad angreiferkontrollierten Bytecode laden. Ein @JSONType-Annotation in dieser Ressource wird dann als Vertrauenssignal interpretiert und erlaubt den Klassendurchlauf.
ThreatBook meldete am 22. Juli 2026, dass seine Plattform exploit-Aktivitäten in der Wildnis aufgezeichnet hatte. Imperva berichtet von Angriffen auf Organisationen im Finanz-, Gesundheits-, IT- und Einzelhandelssektor, vor allem in den USA, aber auch in Singapur und Kanada.
Technische Details
Die Schwachstelle hat einen CVSS-Score von 9.0. Sie erfüllt mehrere kritische Bedingungen:
- Keine Authentifizierung erforderlich (Remote Code Execution ohne Credentials)
- Kein Aktivieren von AutoType nötig (der übliche Schutzmechanismus hilft nicht)
- Kein Classpath-Gadget erforderlich
- Betrifft Spring Boot fat-JAR auf JDK 8, 11, 17 und 21
- Verifiziert auf Spring Boot 2.x, 3.x und 4.x
Betroffene Einstiegspunkte sind JSON.parse, JSON.parseObject(String) und JSON.parseObject(String, Class). Selbst wenn der Input auf eine feste Klasse gebunden wird, reicht ein Objekt mit einem Object- oder Map-Feld, um den Payload zu verschachteln.
Wer ist betroffen?
Alle Umgebungen, die Fastjson 1.2.68 bis 1.2.83 in Verbindung mit Spring Boot fat-JAR einsetzen, sind betroffen. Konkret:
- Spring Boot Executable fat-JAR Deployments auf JDK 8, 11, 17, 21
- Jedes System mit einer transitiven Fastjson-1.x-Abhängigkeit, die eine der betroffenen Versionen zieht
- APIs und Microservices, die JSON.parseObject mit angreiferkontrolliertem Input verwenden
Nicht betroffen sind:
- Gewöhnliche JARs und Uber-JARs (kein fat-JAR-Loader)
- Tomcat- oder Jetty-WAR-Deployments
- Fastjson2 (verwendet einen anderen Ressourcen-Pfad)
Wie kritisch ist das?
Ein CVSS von 9.0, kombiniert mit aktiver Ausnutzung und dem Fehlen eines Patches, macht diese Schwachstelle zu einer der dringendsten Sicherheitsaufgaben der aktuellen Woche. Die Angriffsbarriere ist extrem niedrig: Jede HTTP-Anfrage, die JSON an einen betroffenen Parser sendet, kann zur Code-Ausführung führen.
Imperva beobachtete Browser-Impersonatoren als Hauptquelle der Exploit-Anfragen, ergänzt durch Ruby- und Go-Tools (zusammen etwa 30 Prozent). Die Tatsache, dass sowohl ThreatBook als auch Imperva unabhängige Exploit-Aktivitäten bestätigen, deutet auf eine breite Angreifer-Basis hin.
Was sollten Admins jetzt tun?
- Sofort prüfen: Alle Java-Anwendungen auf Fastjson-1.x-Abhängigkeiten scannen (Maven, Gradle, Transitive Dependencies)
- SafeMode aktivieren: JVM-Parameter
-Dfastjson.parser.safeMode=truesetzen (verhindert die Type-Auflösung komplett) - Alternative nutzen: Die eingeschränkte Version
com.alibaba:fastjson:1.2.83_noneautotypeals Abhängigkeit einbinden - Langfristig migrieren: Auf Fastjson2 umsteigen, der nicht von derselben Schwachstelle betroffen ist
- Logs prüfen: Nach verdächtigen @type-Werten, verschachtelten JAR-URLs, unerwarteten Outbound-Verbindungen und Kindprozessen suchen
- Webshells scannen: Bei Verdacht auf Ausnutzung die Dateisysteme betroffener Server auf manipulierte Dateien prüfen
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen, die Java-basierte Anwendungen betreiben, ist diese Schwachstelle direkt relevant. Viele verbreitete Frameworks nutzen Fastjson als Standard-JSON-Parser. Besonders betroffen sind Webanwendungen, Microservices und APIs, die als fat-JAR in Spring Boot deployt werden.
Da kein Patch vorliegt, gibt es zwei realistische kurzfristige Maßnahmen: SafeMode aktivieren oder die eingeschränkte Variante 1.2.83_noneautotype einsetzen. Beides verhindert die Ausnutzung, erfordert aber ein Redeploy der betroffenen Anwendungen. Organisationen ohne dedizierten Java-Entwickler sollten ihren Hosting-Anbieter oder IT-Dienstleister einschalten.
Passende Anleitungen auf S-EDV
- CISA KEV: Warum der Known Exploited Vulnerabilities Catalog für Admins Pflicht ist - Grundlage für die Priorisierung aktiv ausgenutzter Schwachstellen.
- OpenSSL: Neun Schwachstellen im Sicherheitsrelease vom 9. Juni 2026 - Ähnliches Bedrohungsbild bei kritischen Bibliotheken.
