Hacker Eksploitasi Zero-Day FastJson untuk Serangan RCE terhadap Perusahaan di AS
Pelaku ancaman siber diketahui sedang aktif mengeksploitasi kerentanan zero-day pada FastJson, pustaka Java open-source yang banyak digunakan untuk memproses data JSON. Celah ini memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh (Remote Code Execution/RCE) tanpa memerlukan interaksi pengguna maupun hak akses khusus.
Serangan yang terdeteksi saat ini terutama menyasar berbagai organisasi di Amerika Serikat, meski aktivitas serupa mulai terlihat di beberapa negara lain.
Menargetkan Berbagai Sektor Industri
Aktivitas eksploitasi pertama kali diamati oleh perusahaan keamanan siber ThreatBook pada pekan lalu. Temuan tersebut kemudian dikonfirmasi oleh Imperva, yang melaporkan bahwa serangan telah menargetkan berbagai sektor industri.
Beberapa sektor yang menjadi sasaran antara lain:
- Layanan keuangan
- Kesehatan
- Teknologi dan komputasi
- Ritel
- Layanan bisnis
- Berbagai sektor lainnya
Sebagian besar serangan masih berfokus pada organisasi di Amerika Serikat, meski sejumlah percobaan serangan juga telah terdeteksi di Singapura dan Kanada. Para peneliti memperkirakan cakupan serangan akan terus meluas ke berbagai negara.
Celah Berasal dari Mekanisme Deserialisasi
FastJson merupakan pustaka Java yang dikembangkan oleh Alibaba dan banyak digunakan untuk melakukan serialisasi maupun deserialisasi objek Java ke format JSON.
Kerentanan yang dilacak sebagai CVE-2026-16723 ditemukan oleh perusahaan keamanan ofensif FearsOff.
Menurut hasil analisis, masalah muncul pada mekanisme type resolution, yang melakukan pencarian resource berdasarkan data yang dikendalikan penyerang sebelum menerapkan pembatasan keamanan AutoType.
Kondisi tersebut memungkinkan penyerang memanfaatkan atribut @type untuk memuat dan menjalankan kelas berbahaya, bahkan ketika fitur AutoType tidak diaktifkan.
Berpotensi Jalankan Kode Berbahaya
Eksploitasi celah ini dapat menghasilkan Remote Code Execution, terutama pada aplikasi Spring Boot yang dijalankan menggunakan model executable fat-JAR.
Dalam konfigurasi tersebut, penyerang dapat menyisipkan payload berbahaya melalui objek bertipe Object maupun Map, sehingga pembatasan terhadap kelas target tidak lagi efektif.
Yang mengkhawatirkan, serangan ini tidak memerlukan gadget chain pihak ketiga yang biasanya dibutuhkan pada eksploitasi deserialisasi Java.
Belum Ada Patch Resmi
Alibaba telah mengonfirmasi tingkat keparahan kerentanan ini dan memperingatkan bahwa model deployment Spring Boot yang paling umum digunakan merupakan target utama eksploitasi.
Hingga saat ini belum tersedia patch resmi untuk CVE-2026-16723.
Selain itu, FastJson versi 1.x diketahui sudah tidak lagi dikembangkan secara aktif, sehingga kecil kemungkinan pembaruan keamanan akan dirilis.
Siapa yang Terdampak?
Kerentanan ini memengaruhi FastJson versi:
- 1.2.68 hingga 1.2.83
Sementara itu, beberapa konfigurasi dinyatakan aman, antara lain:
- FastJson versi 1.2.60 atau yang lebih lama.
- Aplikasi yang tidak menggunakan model deployment executable fat-JAR.
- Pengguna FastJson2 yang telah menggunakan mekanisme allowlist untuk proses deserialisasi.
Langkah Mitigasi
Karena belum tersedia pembaruan keamanan, organisasi yang masih menggunakan FastJson versi terdampak disarankan segera melakukan mitigasi.
Beberapa langkah yang direkomendasikan meliputi mengaktifkan SafeMode, bermigrasi ke FastJson2, atau menggunakan versi pustaka lain yang tidak terdampak.
Administrator juga disarankan melakukan audit terhadap aplikasi Spring Boot yang masih menggunakan FastJson 1.x, terutama jika dijalankan melalui executable fat-JAR.
Dengan belum tersedianya patch resmi dan adanya eksploitasi aktif di dunia nyata, organisasi yang masih menggunakan FastJson versi rentan sebaiknya segera melakukan mitigasi untuk mengurangi risiko kompromi sistem.
