Es gibt keinen Patch — und die Angriffe laufen schon. Eine kritische Zero-Day-Lücke in der weit verbreiteten Java-Bibliothek Fastjson (CVE-2026-16723) lässt Angreifer Schadcode auf deinem Server ausführen — ganz ohne Anmeldung. Sicherheitsforscher beobachten seit dem 22. Juli aktive Ausnutzung. Wenn du irgendwo Java mit Fastjson 1.x betreibst, ist heute dein Update-Tag.
SCHOCK: Ein JSON-Schnipsel reicht
Die Lücke steckt in der Art, wie Fastjson Typen aus JSON auflöst. Ein Angreifer baut ein präpariertes JSON mit einem manipulierten @type-Feld. Landet das auf einem verwundbaren Endpunkt, versucht Fastjson die angegebene Klasse zu laden — und genau das öffnet die Tür zur Codeausführung. Das Perfide: Es funktioniert in der Standardkonfiguration, ohne dass „AutoType“ aktiv sein muss und ohne Gadget-Klassen im Classpath.
GEFAHR: Fat-JARs sind das Hauptziel
Betroffen sind die Versionen 1.2.68 bis 1.2.83. Am gefährlichsten ist das gängigste Deployment-Modell überhaupt: die Spring-Boot-Fat-JAR, also die eine ausführbare JAR-Datei mit allen Abhängigkeiten drin. Genau dort schlagen die Angreifer laut Imperva und The Hacker News aktuell zu — mit Zielen in den USA, Singapur und Kanada.
So rettest du deinen Server SOFORT
Es gibt keinen fertigen 1.x-Patch, auf den du einfach updaten kannst. Alibaba empfiehlt zwei Wege: Erstens den SafeMode von Fastjson aktivieren (blockt die Typauflösung generell). Zweitens — der saubere Weg — die Migration auf Fastjson 2.x. Prüfe dazu deine Abhängigkeiten: Ein mvn dependency:tree | grep fastjson zeigt dir, ob und welche Version drinsteckt. Danach Endpunkte, die externes JSON annehmen, besonders im Blick behalten.
EXTRA-TIPP: Selbst-gehostetes checken
Fastjson steckt in vielen Java-Tools, die im Homelab laufen — von älteren Middleware-Diensten bis zu selbst gebauten APIs. Wer Java-Container betreibt, sollte auch die Images checken. Ein Reverse-Proxy davor ist kein Ersatz für den Fix, kann aber verdächtige Payloads mit einer WAF-Regel abfangen, bis migriert ist.
Häufige Fragen
Welche Versionen sind betroffen?
Wie merke ich, ob mein System verwundbar ist?
mvn dependency:tree | grep fastjson oder indem du die JAR entpackst. Prüfe außerdem, ob Endpunkte externes JSON per Fastjson deserialisieren.