FastJson Javaライブラリの脆弱性を悪用した攻撃者が、米国の金融、医療、商業セクターの組織を標的にしている。FastJson 1.2.68から1.2.83までのバージョンが影響を受け、攻撃者はリモートコード実行（RCE）を実行できる。Alibabaが開発したFastJsonは、JavaオブジェクトをJSONに変換するために使用され、GitHubで25,600のスターと6,400のフォークを獲得するなど、広く利用されている。

この脆弱性の原因は、ライブラリの型解決ロジックの弱点にある。攻撃者はAutoType制限をバイパスするリクエストを実行できる。これにより、Spring Boot fat-JAR配布でリモートコード実行の経路が開かれる。Alibabaはこの脆弱性の重要性を「クリティカル」と認定し、最も一般的なSpring Boot配布モデルで利用可能であると指摘している。

現在、CVE-2026-16723に対する修正は存在しない。FastJson 1.xはもはやアクティブにメンテナンスされておらず、セキュリティ更新は予定されていない。開発者は影響を受けたバージョンを使用している場合、SafeModeを有効にするか、影響を受けていないバージョンに移行する必要がある。