ทีมดูแล Fastjson ไลบรารีประมวลผล JSON ยอดนิยมของภาษา Java จาก Alibaba เปิดเผยช่องโหว่ Remote Code Execution (RCE) ระดับ Critical ที่ระบุเป็น CVE-2026-16723 ซึ่งได้รับคะแนน CVSS สูงถึง 9.0 ส่งผลกระทบต่อ Fastjson เวอร์ชัน 1.2.68 ถึง 1.2.83 ที่น่ากังวลอย่างยิ่งคือ ยังไม่มีแพตช์อย่างเป็นทางการ สำหรับสาย 1.x จนถึงขณะนี้
จุดที่ทำให้ช่องโหว่นี้อันตรายกว่าช่องโหว่ Fastjson ในอดีตคือสามารถโจมตีได้ภายใต้ค่า Default Configuration โดยไม่จำเป็นต้องเปิดใช้งาน AutoType และไม่ต้องพึ่งพา Gadget Class จากไลบรารีภายนอกแต่อย่างใด
รายละเอียดช่องโหว่
ช่องโหว่นี้ถูกค้นพบโดย FearsOff Cybersecurity และทีมดูแล Fastjson เผยแพร่ Security Advisory เมื่อวันที่ 21 กรกฎาคม 2026 กลไกการโจมตีทำงานดังนี้:
- ผู้โจมตีส่งค่า @type ที่สร้างขึ้นเป็นพิเศษในคำขอ JSON ไปยังแอปพลิเคชันเป้าหมาย
- ค่านี้ถูกแปลงเป็นการค้นหา Class-resource (Class-resource Lookup) ที่ดึง Bytecode ซึ่งผู้โจมตีควบคุมได้จาก Path ภายใน JAR ที่ซ้อนอยู่ในระบบ Spring Boot ที่มีเงื่อนไขตรงกัน
- Annotation @JSONType บน Resource นั้นถูกใช้เป็นสัญญาณความน่าเชื่อถือ (Trust Signal) ที่ทำให้ Class ดังกล่าวสามารถผ่านการตรวจสอบความปลอดภัยของ Fastjson ไปได้
ผลลัพธ์คือผู้โจมตีสามารถรันโค้ดที่ต้องการบนเซิร์ฟเวอร์เป้าหมายได้โดยไม่ต้องยืนยันตัวตน (Unauthenticated) และไม่ต้องอาศัยเงื่อนไขพิเศษใดๆ ที่เคยจำเป็นสำหรับช่องโหว่ Fastjson รุ่นก่อนหน้า
ระบบที่ได้รับผลกระทบ
- Fastjson เวอร์ชัน 1.2.68 ถึง 1.2.83
- โดยเฉพาะระบบที่ Deploy ด้วย Spring Boot ภายใต้เงื่อนไขที่ตรงกับรูปแบบการโจมตีนี้
- ระบบจำนวนมากที่ยังคงใช้งาน Fastjson สาย 1.x อยู่ ถือว่ามีความเสี่ยงสูงเป็นพิเศษ เนื่องจากยังไม่มีแพตช์รองรับ
สถานะการโจมตีและการแก้ไข
ข้อมูล ณ วันที่ 25 กรกฎาคม 2026 ยืนยันว่า Alibaba ยังไม่ออก Fastjson 1.x เวอร์ชันที่แก้ไขช่องโหว่นี้ และมีรายงานว่าเริ่มพบการโจมตีจริงเกิดขึ้นแล้ว (Targeted in Attacks) ทำให้สถานการณ์อยู่ในกลุ่มช่องโหว่ Zero-day ที่ต้องใช้มาตรการบรรเทาความเสี่ยงชั่วคราวแทนการรอแพตช์
ผลกระทบที่อาจเกิดขึ้น
- ผู้โจมตีรันโค้ดได้อย่างสมบูรณ์บนเซิร์ฟเวอร์เป้าหมาย โดยไม่ต้องยืนยันตัวตนหรืออาศัยเงื่อนไขพิเศษ
- ความเสี่ยงลุกลามเป็นวงกว้าง เนื่องจาก Fastjson ถูกใช้งานอย่างแพร่หลายในระบบ Java/Spring Boot ทั่วโลก โดยเฉพาะในองค์กรที่ยังไม่ได้อัปเกรดไปใช้ Fastjson 2.x
- ขโมยข้อมูล ติดตั้ง Backdoor หรือควบคุมเซิร์ฟเวอร์ หลังโจมตีสำเร็จ
- ไม่มีแพตช์รองรับในทันที ทำให้องค์กรต้องพึ่งพามาตรการบรรเทาความเสี่ยงชั่วคราวเป็นแนวป้องกันหลักในระยะนี้
สิ่งที่องค์กรควรทำ
- เปิดใช้งาน SafeMode ของ Fastjson ทันทีในทุกระบบที่ใช้งาน Fastjson 1.x เป็นมาตรการบรรเทาความเสี่ยงเร่งด่วนระหว่างรอแพตช์อย่างเป็นทางการ
- วางแผนย้ายไปใช้ Fastjson 2.x โดยเร็วที่สุด เนื่องจากยังไม่มีกำหนดการแพตช์สำหรับสาย 1.x ที่ชัดเจน
- ตรวจสอบ Log การเรียกใช้งาน JSON Deserialization ที่ผิดปกติ โดยเฉพาะระบบที่ใช้ Spring Boot ร่วมกับ Fastjson และมี Endpoint ที่รับข้อมูล JSON จากภายนอก
- พิจารณาใช้ Web Application Firewall (WAF) เพื่อกรอง Payload ที่มีลักษณะโจมตีผ่านค่า @type ในคำขอ JSON
แนวทางลดความเสี่ยงระยะยาว
1. ทำ Inventory ของระบบที่ใช้งาน Fastjson ทั่วทั้งองค์กร
เพื่อให้ทราบขอบเขตความเสี่ยงที่แท้จริงและจัดลำดับความสำคัญในการย้ายไปใช้เวอร์ชันที่ปลอดภัยกว่า
2. กำหนดนโยบายจำกัดการใช้ไลบรารี Deserialization ที่มีประวัติช่องโหว่บ่อยครั้ง
พิจารณาทางเลือกอื่นที่มีการดูแลด้านความปลอดภัยที่แข็งแกร่งกว่าสำหรับโปรเจกต์ใหม่
3. ติดตาม Security Advisory จาก Fastjson และ Alibaba อย่างใกล้ชิด
เพื่อทราบทันทีเมื่อมีแพตช์อย่างเป็นทางการเผยแพร่สำหรับสาย 1.x
4. ทำ Dependency Scanning เป็นส่วนหนึ่งของ CI/CD Pipeline
เพื่อตรวจจับการใช้งานไลบรารีที่มีช่องโหว่รู้จักแล้วโดยอัตโนมัติก่อนขึ้น Production
วิเคราะห์ในมุมมองจาก TXEC
ช่องโหว่นี้เป็นตัวอย่างที่ชัดเจนของความเสี่ยงจากการพึ่งพาไลบรารี Deserialization ที่มีประวัติปัญหาด้านความปลอดภัยมาอย่างต่อเนื่อง Fastjson เคยมีช่องโหว่ลักษณะเดียวกันในอดีตหลายครั้ง แต่ครั้งนี้ทีมวิจัยพบวิธีการโจมตีที่ข้ามผ่านมาตรการป้องกันเดิมได้ง่ายกว่าที่เคยเป็นมา
จุดที่ TXEC อยากเน้นย้ำเป็นพิเศษคือสถานการณ์ "ไม่มีแพตช์" (No Patch Available) ทำให้องค์กรต้องพึ่งพามาตรการบรรเทาความเสี่ยงชั่วคราวอย่าง SafeMode เป็นแนวป้องกันหลักในระยะนี้ องค์กรไทยที่ใช้ระบบ Java/Spring Boot จำนวนมากควรตรวจสอบทันทีว่ามีการใช้งาน Fastjson เวอร์ชันที่ได้รับผลกระทบอยู่หรือไม่ และเร่งดำเนินมาตรการบรรเทาความเสี่ยงโดยไม่ต้องรอแพตช์อย่างเป็นทางการ
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Imperva, The Hacker News, Tenable, Risky Biz, Security Boulevard ]