【缝隙公告】Fastjson2 AutoType校验绕过远程代码执行缝隙
颁布功夫 2026-07-27一、缝隙概述
Fastjson2是阿里巴巴开源的高机能Java JSON解析库，是Fastjson系列的沉构升级版本，提供JSON序列化、反序列化以及丰硕的数据处置能力。该组件宽泛利用于Java企业利用、微服务系统、接口服务、数据互换平台等场景，拥有高机能、低延长和易集成等特点。
2026年7月27日，Z6人生就是博安全应急响应中心（VSRC）监测到Fastjson2 AutoType校验绕过远程代码执行缝隙。该缝隙存在于Fastjson2的AutoType类型解析流程中，由于默认配置下AutoType校验逻辑对输入类型名称进行FNV-1a哈希匹配时，仅验证哈希了局而未充分校验现实类型名称，攻击者可机关特殊JSON数据绕过类型白名单限度，使恶意类型进入类加载流程并执行肆意代码。攻击者无需认证即可通过节造JSON要求触发缝隙，可能导致服务器被齐全节造、敏感数据泄露、业务系统被入侵，并对企业数据安全及合规要求造成严沉影响。
二、影响领域
Fastjson2 <= 2.0.62（凭据互联网公开信息）。
三、安全措施
3.1 升级版本
PR #7695并非正式建复提交，已关关且未归并至主干，当前已颁布版本均不蕴含建复。建议持续关注官方安全布告，待正式建复版本颁布后实时升级。
下载链接：
https://github.com/alibaba/fastjson2/
3.2 一时措施
在官方建复版本颁布前，建议开启SafeMode禁用AutoType职能（-Dfastjson2.parser.safeMode=true），阻止不成信类型自动解析；同时预防对表部输入的JSON数据进行直接反序列化，对蕴含@type字段的要求进行过滤，并通过WAF、API网关等安全设备拦截异常JSON要求，以降低缝隙被利用风险。
3.3 通用建议
定期更新系统补丁，削减系统缝隙，提升服务器的安全性。
加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。
使用企业级安全产品，提升企业的网络安全机能。
加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度。
启用强密码战术并设置为定期批改。
3.4 参考链接
https://github.com/alibaba/fastjson2/pull/7695
https://github.com/alibaba/fastjson2/issues/7702
京公网安备11010802024551号