アリババが開発したJava向けソフト部品「Fastjson（ファストジェイソン）」の旧バージョンに、危険度が極めて高い脆弱性が見つかりました。認証なしで遠隔からコードを実行される恐れがあり、すでに実際の攻撃も観測されています。厄介なことに、7月25日時点で修正版は公開されていません。
CVSSスコア9.0の「重大」な欠陥
問題の脆弱性はCVE-2026-16723として管理され、深刻度を示すCVSS（共通脆弱性評価システム）スコアは10点満点中9.0の「重大（クリティカル）」に分類されました。7月21日にFastjsonの開発チームがセキュリティ勧告を公開したもので、脆弱性を発見したのはセキュリティ企業のFearsOffです。影響を受けるのはFastjsonのバージョン1.2.68から1.2.83で、特定のSpring Boot環境下で動く場合に危険が生じます。
認証不要で遠隔コード実行
攻撃の手口は深刻です。細工された不正なJSONデータを送りつけるだけで、認証もユーザー操作も外部の追加部品も必要とせず、遠隔からのコード実行（RCE）が可能になります。セキュリティ企業のThreatBookとImpervaは、この欠陥を突いた攻撃がすでに実際に行われていると警告しています。JSONはウェブ上でデータをやり取りする際に広く使われる形式で、Fastjsonはそれを処理する部品として多くのシステムに組み込まれています。
修正版なく、自衛を迫られる
対策は急務です。7月25日時点でアリババは修正済みの1.x系バージョンを公開しておらず、利用者は自衛を迫られています。専門家は、まず安全機能である「SafeMode」を直ちに有効にし、影響を受けない後継版のFastjson 2.xへ移行するよう強く推奨しています。2.x系は型解決の仕組みが異なり、この攻撃の影響を受けないとされています。
日本への影響
Fastjsonは中国発のソフト部品ですが、日本企業のシステムにとっても他人事ではありません。日本国内でもJavaを用いた業務システムやウェブサービスは数多く、部品として組み込まれたFastjsonの存在に気づかないまま運用しているケースは十分に考えられます。とりわけ自社開発のシステムでは、どの部品を使っているかを一覧化した「ソフトウェア部品表（SBOM）」を整備していない企業も多く、まずは利用状況の棚卸しから始めることが求められます。
実務面では、情報システム部門による早急な確認と対応が欠かせません。該当バージョンを使っている場合はSafeModeを直ちに有効にし、可能な限り速やかに2.x系への移行を進めることが被害を防ぐ近道です。修正版が未公開のまま実攻撃が続いている状況を踏まえれば、外部と通信するサーバーの監視強化や不審な通信の遮断といった多層的な備えも重要になります。個人利用者が直接できることは限られますが、利用中のサービスに障害や不審な挙動が出た場合は運営元の告知に注意を払うことが大切です。
まとめ：修正版がないまま攻撃が続く危険な状況です。心当たりのある企業は、今すぐ自社システムの点検に着手しましょう。
出典:
The Hacker News – Fastjson 1.x RCE Vulnerability Targeted in Attacks
Imperva – Critical FastJson 1.x Zero-Day RCE (CVE-2026-16723)
Security Boulevard – CVE-2026-16723 Critical FastJson Zero-Day
Photo: Rapha Wilde / Unsplash
