FastJson ist eine von Alibaba entwickelte Open-Source-Bibliothek für Java, die Java-Objekte nach JSON serialisiert und wieder zurückwandelt. Auf GitHub kommt das Projekt auf 25.600 Sterne und 6.400 Forks. Besonders verbreitet ist es laut Quelltext in chinesischer Unternehmenssoftware und in Projekten, die auf Alibabas Plattform aufbauen.

Entdeckt wurde CVE-2026-16723 von FearsOff, einem Unternehmen für offensive Sicherheit, das in diesem Monat auch eine technische Analyse veröffentlicht hat. Nach Darstellung der Forscher liegt die Ursache in der Logik zur Typauflösung der Bibliothek: Diese führe von Angreifern kontrollierte Ressourcenabfragen aus, bevor AutoType-Beschränkungen durchgesetzt werden. Dadurch entsteht in Spring-Boot-Fat-JAR-Deployments ein Weg zur Remotecodeausführung.

FearsOff zufolge lässt sich die Schwachstelle über die Verarbeitung von @type missbrauchen. Auf diese Weise konnten die Forscher schädliche Klassen laden und ausführen, ohne dass AutoType aktiviert sein musste und ohne auf Gadget-Ketten von Drittanbietern angewiesen zu sein.

Alibaba bestätigt in seinem Sicherheitsbulletin den kritischen Schweregrad der Lücke. Der Hersteller warnt, dass sie im „häufigsten Spring-Boot-Bereitstellungsmodell“ ausnutzbar sei. „Die einzige Voraussetzung bei der Bereitstellung ist, dass das Ziel als ausführbares Spring-Boot-Fat-JAR läuft, also über ‚java -jar xxx.jar‘ gestartet wird“, heißt es in der Sicherheitswarnung des Unternehmens.

Der Hersteller weist außerdem darauf hin, dass die Angabe einer Zielklasse bei der Deserialisierung CVE-2026-16723 nicht entschärft. Angreifer könnten schädliche Nutzdaten in Felder vom Typ „Object“ oder „Map“ einbetten. Nicht betroffen sind laut Quelltext FastJson-Versionen 1.2.60 und älter sowie Bereitstellungen, die keine Fat-JARs verwenden.

Die anfällige Typauflösungslogik existiert nach Angaben des Herstellers nicht in fastjson2. Diese Variante nutze bei polymorpher Deserialisierung ein Modell, das zuerst mit einer Allowlist arbeitet, und verlasse sich nicht auf die Annotation @JSONType als Vertrauenssignal.

Für Entwickler, die eine betroffene Version einsetzen, lautet die Empfehlung, umgehend SafeMode zu aktivieren oder auf einen nicht betroffenen Build zu wechseln. Einen Fix für CVE-2026-16723 gibt es derzeit jedoch nicht. Imperva weist zudem darauf hin, dass FastJson 1.x nicht mehr aktiv gepflegt werde, weshalb mit einem Sicherheitsupdate eher nicht zu rechnen sei.

Die laufenden Angriffe wurden in der vergangenen Woche zunächst von ThreatBook beobachtet. Imperva bestätigte anschließend, dass eine große Bandbreite von Organisationen im Visier steht. Nach Einschätzung des Unternehmens konzentriert sich die Aktivität aktuell nahezu vollständig auf US-basierte Organisationen, mit einigen wenigen Angriffen in Singapur und Kanada; eine weitere globale Ausweitung sei jedoch wahrscheinlich.