转载自微信公众号，作者：长亭安全应急响应中心　|　原文：点击查看

Fastjson2 是阿里巴巴开源的 Java JSON 解析库重构升级版，凭借其高性能和简洁的 API 在国内 Java 生态中占据主导地位，广泛应用于企业后端服务、微服务网关、数据接口层等核心场景。

2026 年 7 月，长亭应急响应实验室安全研究员原创发现并上报Fastjson2存在一个全JDK版本通杀的远程代码执行漏洞。攻击者仅需控制 JSON 请求体，无需目标系统存在任何已知危险类，即可触发 RCE。目前官方已发布修复commit，建议受影响用户尽快应用修复补丁或实施缓解措施。

漏洞描述
漏洞成因

该漏洞源于Fastjson2 在默认配置下未启用SupportAutoType 时，仍可能处理通用对象元素开头@type 属性。其“AutoType 已禁用”校验分支会将输入字符串的增量 FNV-1a 哈希与默认接受哈希进行匹配，但命中后不会确认实际文本是否等于预期的白名单类名。因此，攻击者可以针对任意前缀计算FNV chosen-prefix 碰撞，使 URL 形态的字符串进入应用的上下文类加载器，导致任意代码执行。

漏洞影响

攻击者可在服务器上执行任意代码，可能导致服务器被完全控制、数据泄露或业务系统沦陷。

处置优先级：高

漏洞类型：远程代码执行

漏洞危害等级：高

触发方式：网络远程

权限认证要求：无需权限

系统配置要求：默认配置

用户交互要求：无需用户交互

利用成熟度：POC 未公开

修复复杂度：低，官方已发布修复补丁

影响版本

Fastjson <= 2.0.62

解决方案
升级修复方案

官方已更新修复补丁，参考链接：
https://github.com/alibaba/fastjson2/pull/7695/changes

临时缓解方案

1. 完全禁用 AutoType：开启 SafeMode 或使用noneautotype版本来完全禁用 AutoType 功能，从根本上杜绝此类风险。

代码配置：ParserConfig.getGlobalInstance().setSafeMode(true);

JVM 参数：-Dfastjson.parser.safeMode=true

2. WAF规则配置：拦截请求体中key包含 @type 字段的 JSON 数据。

针对此安全漏洞，官网目前的解答：
https://github.com/alibaba/fastjson2/issues/7702，建议JVM增加参数缓解