パッチ未提供のFastjsonの脆弱性、攻撃に悪用される（CVE-2026-16723）

yab

2026.07.29

パッチ未提供のFastjsonの脆弱性、攻撃に悪用される（CVE-2026-16723）

SecurityWeek – July 28, 2026

Java用ライブラリ「Fastjson」に存在する重大なリモートコード実行の脆弱性（CVE-2026-16723）が実際の攻撃で悪用されていることが確認された。

CVE-2026-16723（CVSSスコア：9.0）は、認証なしで悪用できる脆弱性。サポートの終了したFastjsonのバージョン1.2.68から1.2.83を使用し、Spring Bootで実行可能な「fat-JAR」としてパッケージ化され、なおかつセーフモードが無効状態（デフォルト設定）である場合に影響を受けるとみられる。攻撃者は「@type」値を含む細工された有害なJSONファイルを介してライブラリを操作し、リソース検索を行うことで、保護機能を回避し、任意のコードを実行することができるそう。

サイバーセキュリティ企業のImpervaによると、米国内のビジネス、コンピューティング、金融サービス、医療、小売など、さまざまな分野の企業に対してCVE-2026-16723を悪用した攻撃が発生していており、さらにはシンガポールとカナダの組織に対する攻撃も確認されている。観測された攻撃のほとんどはブラウザになりすましたツールやサービスによるもので、RubyとGoで書かれたツールが約30％を占めているという。

CVE-2026-16723に対するパッチは提供されないため、ユーザーは速やかにFastjson 2.xにアップデートすることが推奨される。アップデートできない場合は、セーフモードを有効にすることや、特定の文字列を含むPOSTリクエストおよびJSONリクエストをブロックすること、または悪用されている「AutoType」に関連するコードを削除したFastjsonビルドを使用することで影響を軽減できるとのこと。