概要
Alibabaが開発するJavaのJSON処理ライブラリ「Fastjson」の1.x系(バージョン1.2.68〜1.2.83)に、CVSSスコア9.0の深刻なリモートコード実行(RCE)脆弱性CVE-2026-16723が発見された。Alibabaは2026年7月21日にこの脆弱性を公開したが、記事執筆時点でパッチは提供されておらず、セキュリティ企業のThreatBookとImpervaは7月25日までに本番環境を標的とした実際の攻撃活動を確認したと報告している。発見者はFearsOff Cybersecurityの研究者Kirill Firsov氏。この脆弱性は認証不要で悪用可能であり、Spring Boot製の実行可能fat JARアプリケーションを組み込んでいる金融、医療、コンピューティング、小売などの業界が主な標的となっている。攻撃はアメリカ、シンガポール、カナダに地理的に集中している。
技術的な詳細
Fastjsonはこれまでも「AutoType」機能の悪用によるRCE脆弱性が繰り返し報告されてきたが、今回の脆弱性はその対策がすでに施されている環境でも回避可能な点が特徴的だ。攻撃者はJSONオブジェクトに@typeや@JSONTypeといったアノテーションフィールドを含めて送信する。Fastjsonのパーサーはこのアノテーションの存在自体を「型が安全である証拠」とみなし、攻撃者が指定した値を用いてクラスリソースの検索処理を実行してしまう。
この脆弱性が特に深刻なのは、AutoTypeフラグを有効化する必要がなく、あらかじめ悪用可能なガジェットクラスを用意する必要もない点だ。加えて、Spring Bootが生成する実行可能fat JARの構造そのものが悪用を助長している。fat JAR環境ではアプリケーションクラスと依存ライブラリが単一のフラットなクラスパスではなく、ネストされたJARパス内に配置される。この構造により、攻撃者は型チェックを回避しつつ、リソース検索処理を自身が制御するリソースへ誘導できてしまう。攻撃の実行には、インターネットからアクセス可能な任意のエンドポイントやWebhook受信箇所にJSONペイロードを送りつけるだけでよく、攻撃の障壁は低い。
攻撃活動の実態
観測された攻撃トラフィックでは、攻撃者はブラウザになりすましたトラフィックを好んで用いている一方、RubyやGoで実装されたスキャニングツールによる自動探索が全体の攻撃試行の約30%を占めているという。標的業界は金融サービス、医療、コンピューティング、小売と幅広く、地理的にはアメリカ、シンガポール、カナダへの攻撃が目立つ。
緩和策と今後の対応
パッチが存在しない現状では、応急的な緩和策としてJVM起動オプションに-Dfastjson.parser.safeMode=trueを追加してSafeModeを有効化することが推奨されている。SafeModeが既存の正常なパース処理を壊してしまう場合の代替として、機能制限版のcom.alibaba:fastjson:1.2.83_noneautotypeビルドを使用する方法も挙げられている。恒久的な対策としては、異なるアーキテクチャを採用しており本脆弱性の影響を受けないFastjson2への移行が推奨されている。
組織はまず、自社が1.2.68〜1.2.83のFastjson 1.xを使用しているか、Spring Bootのfat JAR形式でデプロイされているか、SafeModeがJVM起動時に有効化されているか、インターネットから到達可能なエンドポイントでこのライブラリ経由のJSONパース処理が行われていないかを確認する必要がある。よくある見落としとして、mvn dependency:treeなどで確認すべき推移的依存関係の見逃し、以前AutoTypeを無効化していればこの脆弱性も防げていると誤認すること(SafeModeは別設定であるため)、外部公開エンドポイントのみを検査対象とし侵害後に悪用され得る内部サービスを見落とすことなどが指摘されている。