攻击者正在利用严重的 Fastjson 1.x RCE，暂无补丁可用
Luis Cabral ·
据 The Hacker News 报道，攻击者正积极利用一个严重的 Fastjson 1.x 远程代码执行漏洞，截至今日暂无补丁可用。安全公司 ThreatBook 和 Imperva 报告称，该缺陷允许未认证的 JSON 请求在易受攻击的 Spring Boot 应用中，以 Java 进程的权限执行代码。该问题编号为 CVE-2026-16723，CVSS 评分为 9.0（由 Alibaba 评定）。
The Hacker News 补充称，作为 Alibaba 的 Java 领域广泛使用的 JSON 库，Fastjson 支撑着许多 Spring Boot 服务，显著扩大了即时暴露面。ThreatBook 和 Imperva 表示，已观察到野外针对性活动，而 1.x 分支尚未发布厂商补丁。请关注来自 Alibaba 的官方通告或修复、针对 Spring Boot 部署的防御性指导，以及 ThreatBook 和 Imperva 分享的任何入侵指示器。 [更新中。本文将持续更新。]