KnowSafe 安全预警：fastjson <= 1.2.83 任意代码执行漏洞（CVE-2026-16723）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-1896768 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Fastjson 是开源的高性能 Java JSON 序列化/反序列化库，广泛用于 Java 对象与 JSON 之间的相互转换。Fastjson 1.x 版本已于 2024 年停止维护，当前最新版本为 2.0.61。

此次，漏洞源于 Fastjson 反序列化流程中的一处安全缺陷。在使用默认配置（未开启 SafeMode）的情况下，若攻击者能够控制传递给 Fastjson 的 JSON 数据，即可利用 Fastjson 自身内部的反序列化逻辑构造恶意载荷，无需目标环境存在特定 gadget 类便能触发任意代码执行。由于该漏洞属于"gadget-free"利用方式，传统的移除危险类等缓解手段对此无效。

影响版本

1.2.68 <= Fastjson <= 1.2.83

安全版本

Fastjson 2 最新版本

影响范围

官方公告未列出受影响软件明细，请结合自身业务使用的组件版本进行排查。

解决方案

Fastjson 1.x 已停止维护多年，请参照以下方案处置：

方案一：迁移至 Fastjson 2 最新版本（推荐）

升级到 2.x 版本以获取更好的性能与安全性。升级前请参照兼容性评估文档做好适配验证：

仓库地址：https://github.com/alibaba/fastjson2

升级指南：https://github.com/alibaba/fastjson2/blob/f68fd88fa63575b8b2956c8c5458be718023974d/docs/fastjson_1_upgrade_cn.md

方案二：启用 SafeMode

需要继续使用 Fastjson 1.x 的用户，可通过开启 SafeMode 完全禁用 AutoType 功能（以下三种方式任选其一）：

代码方式：ParserConfig.getGlobalInstance().setSafeMode(true); JVM 启动参数：-Dfastjson.parser.safeMode=true 配置文件：fastjson.parser.safeMode=true 官方文档：https://github.com/alibaba/fastjson/wiki/fastjson_safemode

方案三：使用 noneautotype 版本

将 Fastjson 1.x 替换为对应的 noneautotype 版本（如 Maven 坐标：com.alibaba:fastjson:1.2.83_noneautotype）。该版本在编译时完全移除了 AutoType 相关能力，不再支持自动加载类，从根源上避免反序列化漏洞。

参考文档：https://github.com/alibaba/fastjson/wiki/security_update_20220523#34-noneautotype%E7%89%88%E6%9C%AC

【备注】：升级或切换组件前请做好充分的兼容性验证与数据备份。