Fastjson 1.x kütüphanesinde yamasız zero-day: tek JSON isteğiyle Java sunucusu ele geçiriliyor
Alibaba'nın yaygın kullanılan Fastjson 1.x kütüphanesinde (1.2.68–1.2.83 sürümleri) CVSS 9.0 puanlı bir uzaktan kod çalıştırma açığı aktif olarak istismar ediliyor. Açık, varsayılan yapılandırmada AutoType etkinleştirmeye veya classpath gadget'a gerek duymadan çalışıyor; Alibaba henüz düzeltme yayınlamadı.
Alibaba’nın geliştirdiği ve Java ekosisteminde yaygın kullanılan Fastjson kütüphanesinin 1.x serisinde (1.2.68 ile 1.2.83 arası sürümler), CVE-2026-16723 kodlu ve CVSS 9.0 puanlı bir uzaktan kod çalıştırma (RCE) açığı aktif saldırılarda kullanılıyor.
Açığın niteliği
Açığın en dikkat çekici yanı, önceki Fastjson zafiyetlerinin aksine AutoType özelliğinin etkinleştirilmesine ya da classpath üzerinde özel bir “gadget” bulunmasına gerek duymaması — kütüphanenin stok/varsayılan yapılandırması bile savunmasız. İstismar zinciri şu koşulları gerektiriyor: etkilenen Fastjson sürümü, çalıştırılabilir bir Spring Boot fat-JAR, saldırgan kontrolündeki JSON verisini ilgili ayrıştırıcıya ulaştıran ağ erişimli bir uç nokta ve varsayılan olarak kapalı bırakılan SafeMode.
Saldırı kapsamı
Saldırganlar ABD merkezli kuruluşları; finans, sağlık, bilişim, perakende ve diğer sektörleri kapsayacak şekilde hedef alıyor.
Yama durumu
25 Temmuz itibarıyla Alibaba, Fastjson 1.x için düzeltilmiş bir sürüm yayınlamadı. Fastjson 2.x bu açıktan etkilenmiyor. Alibaba, geçici önlem olarak fastjson.parser.safeMode bayrağıyla SafeMode’un etkinleştirilmesini veya kısıtlı 1.2.83_noneautotype derlemesine geçilmesini öneriyor; kalıcı çözüm için Fastjson2’ye geçiş tavsiye ediliyor.
Fastjson 1.x hâlâ çok sayıda kurumsal Java ve Spring Boot yığınına gömülü durumda; yama olmadığı için savunma tamamen geçici tedbirlere (SafeMode, sürüm değişimi) dayanıyor.
- The Hacker News — Fastjson 1.x RCE Vulnerability Targeted in Attacks With No Patch Available · 2026-07-25
- SecurityWeek — Unpatched Fastjson Vulnerability Exploited in Attacks · 2026-07-25
- Imperva — Imperva Customers Protected Against CVE-2026-16723 · 2026-07-29
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.