Fastjson 1.x in den Versionen 1.2.68 bis einschließlich 1.2.83 ist von der Schwachstelle betroffen. Das ist zugleich die letzte 1.x-Version; diese Linie wird nicht mehr unterstützt. Fastjson 2.x ist laut den vorliegenden Hinweisen nicht anfällig.
Alibaba schreibt in seinem Sicherheitshinweis, die Lücke sei unter der unveränderten Standardkonfiguration von Fastjson ausnutzbar. Dafür sei weder eine Aktivierung von AutoType nötig, noch brauche der Angreifer eine Gadget-Klasse im Klassenpfad. Der Fehler betrifft laut Hersteller alle Deployments, die als Spring-Boot-Executable-Fat-Jar betrieben werden.
ThreatBook warnt, ein erfolgreicher Angriff ermögliche die Ausführung beliebigen Codes auf einem Zielserver, sofern SafeMode nicht aktiviert ist. Das bedrohe Vertraulichkeit, Integrität und Verfügbarkeit des Systems und könne zu einer vollständigen Kompromittierung des Servers führen.
Technisch lässt sich die Lücke über präparierte JSON-Dateien mit einem bösartigen @type-Wert ausnutzen. Dadurch kann die Bibliothek zu Ressourcenabfragen verleitet werden, die Schutzmechanismen umgehen und einen Pfad zur Codeausführung öffnen. Imperva erklärt, dass Fastjson 1.x das Vorhandensein einer @JSONType-Annotation bei der Typauflösung als Vertrauenssignal behandeln kann. Die vom Angreifer gesteuerte Ressourcenabfrage und dieses annotationsbasierte Vertrauensverhalten ermöglichten zusammen die Umgehung der Schutzmechanismen, die normalerweise mit deaktiviertem AutoType verbunden seien.
Imperva hat nach eigenen Angaben Angriffe auf Basis von CVE-2026-16723 gegen Organisationen in den USA beobachtet, darunter in den Branchen Wirtschaft, Computing, Finanzdienstleistungen, Gesundheitswesen und Einzelhandel. Mehrere Angriffe richteten sich zudem gegen Einrichtungen in Singapur und Kanada.
Nach Angaben von Imperva stammten die meisten beobachteten Angriffe von Browser-Imitatoren. Rund 30 Prozent gingen demnach von in Ruby und Go geschriebenen Werkzeugen aus.
Da bislang kein offizieller Patch verfügbar ist, empfehlen die vorliegenden Hinweise die Migration auf Fastjson 2.x. Falls das nicht möglich ist, sollten Organisationen SafeMode aktivieren, POST- und JSON-Anfragen mit bestimmten Zeichenfolgen blockieren oder eine Fastjson-Build-Version einsetzen, in der der verwundbare AutoType-bezogene Code entfernt wurde.
Imperva betont zudem, dass für die Ausnutzung weder eine Authentifizierung noch eine Benutzerinteraktion oder eine externe Gadget-Bibliothek erforderlich sei. Öffentlich erreichbare Anwendungen mit betroffenen Konfigurationen sollten daher mit hoher Priorität behandelt werden.