FastJsonのRCEゼロデイ脆弱性、組織を標的に積極的な悪用が進行中

脅威アクターがJavaライブラリ「FastJson」のリモートコード実行(RCE)脆弱性を積極的に悪用しており、複数の業界にわたる組織がリスクにさらされています。

この脆弱性はFastJsonのバージョン1.2.68から1.2.83に影響し、攻撃者はユーザーの操作や権限昇格、従来型のJavaデシリアライゼーションガジェットチェーンを必要とせずに悪意あるコードを実行できます。

研究者らは、主に米国内の組織を標的とした実際の攻撃を確認しており、シンガポールおよびカナダでも追加の攻撃活動が報告されています。

FastJson RCEの要点

• 脅威アクターは、FastJsonのバージョン1.2.68から1.2.83に影響するリモートコード実行脆弱性CVE-2026-16723を積極的に悪用しています。
• この脆弱性は、影響を受けるSpring Bootの実行可能fat-JAR展開環境において、ユーザーの操作や権限昇格なしにリモートコード実行を可能にします。
• 現時点でセキュリティパッチは提供されておらず、FastJson 1.xは既に積極的なメンテナンス対象外となっているため、移行および代替の緩和策の実施が重要です。
• 組織は、脆弱なFastJson導入環境を特定し、SafeModeを有効化した上で、fastjson2または他のサポートされているJSONライブラリへの移行を優先すべきです。

FastJson RCE、複数業界を標的に

ThreatBookは先週、CVE-2026-16723の積極的な悪用を初めて確認し、これを受けて本キャンペーンに関するさらなる調査が進められました。

その後Imperva社もこの攻撃活動を確認し、脅威アクターが金融サービス、医療、小売、コンピューティング、ビジネスサービスをはじめとする複数の業界の組織を標的にしていると報告しています。

Imperva社によると、現時点での攻撃はほぼ全面的に米国拠点の組織に集中しており、シンガポールおよびカナダでも少数の事例が確認されています。

研究者らは、この脆弱性および悪用手法に関する認知が広まるにつれて、キャンペーンが世界的に拡大すると予測しています。

これらの攻撃はFastJsonを標的としています。これはAlibaba社が開発したオープンソースのJavaライブラリで、Javaアプリケーションにおけるデータのシリアライズ・デシリアライズに広く利用されています。

このライブラリは企業環境、特にAlibaba社のエコシステムや中国企業向けプラットフォームをベースに構築されたソフトウェアで依然として広く使用されており、影響を受ける可能性のある組織の数を押し上げています。

FastJson RCE脆弱性の仕組み

この脆弱性CVE-2026-16723は、FastJsonの型解決ロジックに起因するものです。このロジックは、AutoTypeによるセキュリティ制限を適用する前に、攻撃者が制御可能なリソースルックアップを実行してしまいます。

この処理順序により、Javaアプリケーションで一般的な展開モデルであるSpring Bootの実行可能fat-JARとして展開されたアプリケーションにおいて、リモートコード実行の機会が生まれます。

攻撃者はFastJsonの@type処理を悪用することで、AutoTypeを有効化することも、Javaデシリアライゼーション攻撃に従来関連付けられてきたサードパーティのガジェットチェーンに頼ることもなく、悪意あるJavaクラスを読み込んで実行できます。

影響を受ける展開条件下では、悪用の成功にユーザーの操作や権限昇格は一切必要ありません。

Alibaba社は、デシリアライズ時にターゲットクラスを指定してもリスクは排除されないと警告しています。

攻撃者は代わりに、ObjectフィールドやMapフィールド内に悪意あるペイロードを埋め込むことで、この緩和策を回避できます。

CVE-2026-16723に対するパッチは現時点で提供されず

Alibaba社はCVE-2026-16723を重大な脆弱性に分類しており、標準的なjava -jar展開モデルで起動されるSpring Bootの実行可能fat-JARとして稼働するアプリケーションに影響することを確認しています。

同社によると、この脆弱な型解決ロジックはfastjson2には存在しません。fastjson2はポリモーフィックなデシリアライゼーションに対してアローリスト優先のモデルを採用しており、@JSONTypeアノテーションを信頼の判断材料として利用していないためです。

Alibaba社はまた、FastJsonバージョン1.2.60以前、およびSpring Bootのfat-JAR展開を使用していないアプリケーションは影響を受けないことも確認しています。

脆弱なFastJson 1.xリリースを稼働している組織は、現時点でセキュリティパッチが提供されていないという追加の課題に直面しています。

Imperva社によると、FastJson 1.xブランチは既に積極的なメンテナンス対象外となっており、Alibaba社が本脆弱性に対する修正版をリリースする可能性は低いとみられます。

組織がfastjson2または影響を受けない他のビルドへ移行できるようになるまでの間、Alibaba社は悪用のリスクを軽減するため、直ちにSafeModeを有効化するよう推奨しています。

FastJson CVE-2026-16723への緩和策の推奨事項

攻撃者は既に実際の環境でCVE-2026-16723を悪用しているため、組織は影響を受けるFastJsonバージョンおよび脆弱な展開モデルを使用しているアプリケーションの特定を最優先で進める必要があります。

セキュリティチームは以下を実施すべきです。

• すべてのアプリケーションおよびサードパーティ製ソフトウェアの棚卸しを行い、FastJson 1.2.68から1.2.83を使用しているものを洗い出すこと。Spring Bootのfat-JAR展開を特定し、ソフトウェア構成分析（SCA）やSBOMを用いて組み込まれた依存関係を割り出すこと。
• 直ちにFastJsonのSafeModeを有効化し、ベンダーによるパッチが現時点で提供されていないことを踏まえ、fastjson2または他のサポートされているJSONライブラリへの移行を優先すること。
• 脆弱なアプリケーションをネットワークセグメンテーションの背後に配置してリスクを低減すること。リバースプロキシやAPIゲートウェイを活用し、可能な限り信頼できないJSONデシリアライゼーションを制限すること。
• 悪用を示唆する可能性のある不審なデシリアライゼーション活動、異常なJavaクラスの読み込み、想定外の子プロセス、不審なアウトバウンド通信を監視すること。
• WAFおよびAPI保護対策を更新し、可能な範囲で不審なJSONペイロードや異常な@type処理を検査・ブロックできるようにすること。
• Javaアプリケーションおよびサービスに最小権限の原則を適用し、リモートコード実行が成功した場合の影響を限定すること。
• Javaのリモートコード実行シナリオを想定してインシデント対応計画をテストし、攻撃が発生する前に検知・封じ込め・認証情報のローテーション・復旧の各手順を検証すること。

これらの対策は、全体的なリスクの低減と被害範囲の限定に役立ちます。

結論

積極的な悪用が続く中、セキュリティ責任者は、サードパーティ製ソフトウェアを含め、自社のアプリケーションポートフォリオのどこかに脆弱なFastJson導入環境が既に存在している可能性を前提に対応すべきです。

FastJson 1.xに対するパッチが期待できない以上、優先すべき対応はベンダーによる修正を待つことから、影響を受ける資産を迅速に特定し、代替の緩和策を実施し、移行計画を加速させて企業リスクを低減することへとシフトしています。

CVE-2026-16723のような脆弱性によるリスクへの露出を低減する取り組みの一環として、将来の攻撃による影響を抑えるべく、ゼロトラストといったより広範なセキュリティ戦略の見直しを進めている組織もあります。