ハッカーが米国企業を標的に、FastJsonのRCEゼロデイ攻撃を実行

ハッカーがオープンソースのJavaライブラリ「FastJson」に存在する脆弱性を悪用し、ユーザーの操作や権限昇格を必要とせずにリモートコード実行を可能にする攻撃を活発に行っています。

このセキュリティ問題はFastJsonのバージョン1.2.68から1.2.83に影響し、米国内のさまざまな組織を狙った攻撃に利用されています。

この悪意ある活動は、エージェント型セキュリティ企業のThreatBookが先週確認したもので、ビジネス保護企業Impervaの研究者らも「金融サービス、ヘルスケア、コンピューティング、小売、ビジネスなど幅広い業界の組織を標的にしている」と確認しています。

「現在、攻撃はほぼ完全に米国拠点の組織に集中していますが、シンガポールやカナダでも一部攻撃が確認されており、今後は世界的に拡大していく可能性が高いでしょう」とImpervaは述べています。

FastJsonは、アリババが開発したオープンソースのJavaライブラリで、JavaオブジェクトのJSONへのシリアライズおよびその逆変換に使用されます。

このプロジェクトはGitHub上で25,600個のスターと6,400件のフォークを獲得しており、特に中国企業のソフトウェアやアリババのプラットフォーム上で構築されたプロジェクトで広く使われています。

CVE-2026-16723は、攻撃的セキュリティ企業のFearsOffによって発見され、同社は今月初めに技術解説記事を公開しています。

研究者らによると、この欠陥はライブラリの型解決ロジックに起因しており、AutoTypeの制限を適用する前に、攻撃者が制御可能なリソースの参照を実行してしまうとのことです。これにより、Spring Bootのfat-JARデプロイメントにおいてリモートでコードを実行できる経路が生まれます。

研究者らは@typeの処理を悪用することで、AutoTypeを有効にすることなく、またサードパーティのガジェットチェーンを必要とすることもなく、悪意あるクラスを読み込んで実行することに成功しました。

修正パッチは未提供

アリババはセキュリティ勧告の中で、この脆弱性が深刻度「クリティカル」であることを認め、「最も一般的なSpring Bootのデプロイメントモデル」で悪用可能だと警告しています。

アリババのセキュリティ勧告には、「デプロイメント上の唯一の前提条件は、対象がSpring Bootの実行可能fat-jarとして動作していること（すなわち、java -jar xxx.jarで起動されていること）です」と記載されています。

同社は、デシリアライズ時に対象クラスを指定してもCVE-2026-16723の緩和にはならないと指摘しています。攻撃者が「Object」や「Map」フィールド内に悪意あるペイロードを埋め込むことができるためです。

この脆弱性のある型解決ロジックはfastjson2には存在しません。fastjson2はポリモーフィックなデシリアライズに対してアローリスト優先モデルを採用しており、@JSONTypeアノテーションを信頼のシグナルとして利用していないためです。

また、FastJsonバージョン1.2.60以前、およびfat-JAR以外のデプロイメントも影響を受けません。

影響を受けるバージョン範囲を使用している開発者は、直ちにSafeModeを有効にするか、影響を受けないビルドに切り替えることが強く推奨されます。

現時点で、CVE-2026-16723に対する修正パッチは公開されていません。Impervaはまた、FastJson 1.xがすでに積極的なメンテナンスを受けていない状態にあると指摘しており、セキュリティアップデートが提供される可能性は低いとみられます。