Javaライブラリ「Fastjson 1.x」にゼロデイ脆弱性、Spring Boot環境を標的とした攻撃が観測されるも修正パッチは未提供

要点

• Java向けJSON処理ライブラリ「Fastjson 1.x」に、深刻なリモートコード実行（RCE）の脆弱性が存在することが公表された。

• 実行可能なSpring Bootのアーカイブ形式（fat-JAR）で動作しているシステムが影響を受け、攻撃者が制御するJSONデータによって認証なしで任意のコードを実行される恐れがある。

• セキュリティ企業によって既にこの脆弱性を悪用した攻撃が観測されているが、現時点で修正済みのパッチはリリースされていない。

• 根本的な解決には次世代版である「Fastjson2」への移行が必要であり、即時の移行が難しい場合は特定のオプション変更や機能制限ビルドの適用が推奨されている。

• Alibabaが開発したJava向けJSONライブラリ「Fastjson」の旧バージョン（1.x系）に、認証なしでシステムを遠隔操作できる深刻な脆弱性が存在することが明らかになった。複数のセキュリティ企業がこの脆弱性を悪用した攻撃の発生を報告しているが、開発元からの修正パッチはリリースされていない。この脆弱性は、FearsOff Cybersecurityのキリル・フィルソフ（Kirill Firsov）氏による責任ある開示を受け、Alibabaが2026年7月21日にセキュリティアドバイザリを公開したことで判明した。

• 新たに判明した脆弱性は「CVE-2026-16723」として管理されており、深刻度（CVSS）のスコアは「9.0」（Alibaba評価）とされている。CVSS（Common Vulnerability Scoring System。脆弱性の深刻度を示す指標で、数値が大きいほど危険性が高い）は最大値に近く、事態の深刻さがうかがえる。この問題は、Fastjsonのデータ型を復元する「型解決パス」の処理に起因している。

• 影響を受けるのは、Fastjsonのバージョン1.2.68から1.2.83を使用し、Spring Bootアプリケーションが「fat-JAR（ファットジャー。実行に必要な依存ファイルを一つにまとめたアーカイブ形式）」形式で動作している環境である。攻撃者は、JSONデータ内の型情報（@type）の値を操作して、システム内部のリソース検索機能を呼び出す。

• 細工されたネスト済みのJARファイルのパスを指定されると、外部からバイトコード（Java仮想マシンが実行できるプログラムデータ）が読み込まれる。このコード内にあるアノテーション（プログラムのメタデータを表す付加情報）が信頼シグナルとして誤認され、型チェックを通過して実行されてしまう仕組みだ。

• この脆弱性は、型自動認識機能「AutoType」が無効であっても、クラスパス上に攻撃用のクラス（ガジェット）が存在しなくても悪用が可能とされる。検証では、Spring Bootのバージョン2.x、3.x、4.xにおいて、JDK 8、11、17、21の環境で動作が確認されている。

• なお、通常のJARファイルや、Webサーバー上に展開されるWAR形式の環境は影響を受けない。また、攻撃者が制御するJSONデータが、脆弱なパーサー（プログラムの構文解析器）へ送信されるネットワーク経路が必要となる。

• 入力データを特定のクラスに制限していても、オブジェクト内に「Object」や「Map」といった汎用フィールドが含まれ、その中に攻撃データがネスト（入れ子）になっている場合は、防御を回避される可能性があるという。

• セキュリティ企業のThreatBookは、7月22日に実際の攻撃を観測したと発表した。同社の検証では、JDK 8とSpring Boot fat-JARの環境で完全なコード実行を再現した。一方、Tomcatを利用した環境ではリモートJARの取得や、サーバーに不正なリクエストを行わせる「SSRF（サーバーサイド・リクエスト・フォージェリ。サーバーを踏み台にしてアクセス制限された領域へリクエストを送る攻撃）」にとどまったという。

• 別のセキュリティ企業であるImpervaも、金融、医療、小売などの多様な業界に対する攻撃を報告している。これらの攻撃は主に米国で検出され、ブラウザに偽装した通信や、Ruby、Go製のツールからの送信が約30％を占めていた。

• ただし、両社とも具体的な攻撃件数や被害状況、コード実行の成功を示す証拠は開示していない。そのため、これらは攻撃の試み自体が観測されたものであり、実際の侵害被害を証明するものではない。

• 一方で、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は7月23日時点で悪用状況を「なし」と評価し、同庁の「既知の悪用された脆弱性カタログ」にも登録していない。この判断の不一致に関する理由は明らかになっていない。

• 2026年7月25日の時点で、AlibabaはFastjson 1.x向けの修正パッチを提供していない。GitHubやMavenの公開リポジトリでも、新たな修正版の存在は確認されていない。最新バージョンは「1.2.83」のままであり、機能を制限した「1.2.83_noneautotype」ビルドが代替策として利用できる。

• Alibabaは、長期的な対策として次世代版である「Fastjson2」への移行を推奨している。Fastjson2では、問題となっているリソース検索やアノテーションの仕組みが異なるため、この脆弱性の影響を受けない。

• 即時の移行が困難な組織に対しては、セーフモードを有効にするシステム設定（-Dfastjson.parser.safeMode=true）の適用や、制限付きビルドへの差し替えが推奨される。さらに、システム内のFastjsonに対する依存関係を点検し、JSON内の不審な型指定や、想定外の外部通信、不審な子プロセスの起動、身に覚えのないWebシェル（遠隔操作用のスクリプト）の作成がないか確認することが求められている。