CyberSecurityAction

脆弱性情報 / サプライチェーン/依存関係

Fastjson 1.x RCE脆弱性（CVE-2026-16723 / CVSS 9.0）——パッチ未公開のまま悪用進行中

AlibabaのJavaライブラリFastjsonに認証不要のRCE脆弱性が発見され、Spring Bootアプリへの攻撃が実際に行われている。パッチが存在しないため緩和策のみで対応が必要な状況。

喜村 圭佑（編集責任者）更新 約6分

SHARE

XB!in
Fastjson 1.x RCE脆弱性（CVE-2026-16723 / CVSS 9.0）——パッチ未公開のまま悪用進行中

THREAT GAUGE算出基準

IMPACT（影響範囲）7.5
URGENCY（対応緊急度）9.0
EXPLOIT（悪用の容易さ）9.0

“CVSS 9.0、パッチ未公開、悪用中。Fastjson 1.x系の全利用組織が対象。調査継続中。”

01 · Overview

ニュースの概要

Alibaba製Javaライブラリ「Fastjson」のバージョン1.x系に、Spring Bootアプリケーション上で認証なしにリモートコード実行（RCE）が可能な重大脆弱性（CVE-2026-16723）が存在することが判明した。CVSSスコアは9.0と評価されており、2026年7月25日時点でパッチが公開されていないにもかかわらず、実際の攻撃への悪用がThreatBookおよびImpervaにより確認されている。

Fastjsonは中国のAlibabaが開発したJSONシリアライゼーションライブラリで、高速性を売りに広くJavaエコシステムで利用されてきた。特に中国発のフレームワークやマイクロサービス基盤で採用実績が多く、日本国内でも中国市場向けサービスや越境ECシステム、Javaバックエンドを使う企業のシステムで使用されているケースがある。

今回の脆弱性では、Spring Bootアプリケーション上でFastjsonを使ってJSONデータを処理する際に、細工されたJSONリクエストを送ることでJavaプロセスと同等の権限でOSコマンドを実行できてしまう。攻撃には認証は不要であり、HTTPポートが公開されていればインターネットから直接攻撃が可能である。

Alibaba側のCVSSスコアは9.0であり、攻撃チェーンには一定の条件（Spring BootアプリでのFastjson使用、RESTOREコマンドの有効化等）が必要とされるが、条件が満たされる環境では高確率で悪用に成功するとみられる。現時点でパッチは公開されておらず、バージョンアップグレードによる解決が望めないため、ライブラリの置き換えまたはアプリケーションレベルの緩和策が唯一の対応手段となっている。

CVE番号
CVE-2026-16723
CVSSスコア
9.0（Alibaba評価）
パッチ状況
未公開（2026年7月27日時点）
影響対象
Fastjson 1.x系 + Spring Boot環境
悪用確認
ThreatBook・Impervaが確認
攻撃条件
認証不要、HTTP経由

ThreatBook・Imperva・The Hacker News報告に基づく。CVSSはAlibabaの自己評価値。パッチ状況は日々変化するため公式リポジトリを確認すること。

02 · Analysis

詳細な原因解説

Fastjsonの脆弱性の根本原因は、JSONのデシリアライゼーション処理における「AutoType」機能にある。AutoTypeはJSONデータに埋め込まれたクラス名を動的に解決してJavaオブジェクトを生成する強力な機能だが、これを悪用して攻撃者が任意のJavaクラスをインスタンス化し、危険なコードを実行させることができる。この問題はFastjsonにおいて繰り返し発見されており（CVE-2017-18349、CVE-2022-25845等）、根本的な設計上の問題といえる。

今回のCVE-2026-16723では、Fastjson 1.x系の特定のJSONパースパスで、既存のAutoType防御機構（ブラックリスト・セーフモード）を回避する新しいガジェットチェーンが発見された。Spring Bootのオートコンフィグレーションと組み合わさることで攻撃が成立するため、Alibaba社内の評価条件より実際の悪用が容易である可能性がある。

パッチが提供されない理由として、Fastjson 1.x系はすでにサポートが縮小されており、Alibaba自身は2.x系への移行を推奨している状況がある。しかし多くのJavaプロジェクトでは依存関係の深刻なロックインが生じており、容易にバージョンアップできない「依存ライブラリの罠」がある。

日本企業においては、直接Fastjsonを使用していなくても、利用しているサードパーティライブラリやマイクロサービスフレームワークが推移的依存（Transitive Dependency）としてFastjsonを含んでいるケースがあり、自社での利用有無の確認が第一歩となる。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER: Fastjson脆弱性の攻撃転用パターン

Q. 攻撃者はFastjsonのRCEをどのように組み合わせて最大限に悪用するか？

Combine（組み合わせ）：Fastjson RCEをサプライチェーン攻撃と組み合わせ、人気のJavaライブラリ配布サイトやMavenリポジトリに悪意のあるFastjson依存を持つパッケージを配布するシナリオが考えられる。Adapt（適応）：Fastjson 2.xのAutoType無効化を回避する新しいガジェットチェーンの研究が進んでいる可能性があり、2.x系も将来的に同様の攻撃を受けるリスクがある。Substitute（代替）：パッチが提供されない状況を利用し、正規のパッチを装った偽Fastjsonライブラリが配布されるタイポスクワッティング攻撃が発生する可能性がある。

システム思考: オープンソース依存ライブラリのリスク構造

Q. なぜJavaエコシステムではFastjsonのような危険なライブラリが広く利用され続けるのか？

パフォーマンスと利便性を重視した選択バイアスがあり、Fastjsonは高速性でJacksonを上回るベンチマーク結果を武器に採用が広がった。採用決定時のセキュリティレビューが不十分なままロックインが深まり、後でリスクが判明しても移行コストが移行判断を阻む正のフィードバックループが生じる。さらに、中国のAlibabaによる開発という地政学的要因から、欧米のセキュリティコミュニティによる監査が十分に行われてこなかったという側面もある。SBOMの義務化と継続的な依存ライブラリスキャンという外部からの圧力が、このフィードバックループを断ち切る有効な手段となる。

パッチなしでFastjson脆弱性から守る実装可能な対策

最も確実な緩和策はFastjsonのセーフモード有効化（setSafeMode(true)）である。これによりAutoType機能が完全に無効化され、既知の攻撃ベクターのほとんどが機能しなくなる。セーフモードが既存機能に与える影響を検証した上で適用することが前提となるが、影響調査にかかる時間より攻撃リスクの方が大きいため、可能な限り速やかに実施すべきである。

外部公開されていないマイクロサービス内部でFastjsonを使用している場合でも、ゼロトラストの観点から内部APIへのアクセス制御を強化することが重要である。サービスメッシュ（Istio等）やAPI GatewayによるJWT認証の強制が、内部からの横断的な攻撃を阻止する追加の防衛層となる。

06 · AI Prompt

AI対策プロンプト

あなたはJavaセキュリティの専門家です。[組織名]（[業種]）では[システム名/アプリ種別]においてFastjsonライブラリを使用しています（またはサードパーティライブラリが推移的依存として使用しています）。 CVE-2026-16723（Fastjson 1.x RCE、CVSS 9.0、パッチ未公開）を踏まえ、以下を回答してください： 1. [システム名]でFastjsonが悪用された場合の最悪シナリオ 2. セーフモード有効化の具体的なコード例と実装時の注意点 3. Fastjsonから[代替ライブラリ]への移行計画テンプレート（フェーズ別） 4. 経営層・開発チームへの説明に使えるリスクサマリー（200文字以内）

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

あなたの組織・会社名

業種（例：EC・金融・製造業等）

影響を受ける可能性があるシステムやアプリケーションの種類

移行先として検討しているJSONライブラリ名

キーワード

  • Fastjson RCE
  • CVE-2026-16723
  • デシリアライゼーション
  • Spring Boot
  • OSS脆弱性

SOURCES · 参考情報源