आपके बैंक ऐप में भेजा गया एक JSON पैकेट
Alibaba की Fastjson 1.x लाइब्रेरी में CVE-2026-16723 नाम की गंभीर RCE कमजोरी का हमलावर सक्रिय फायदा उठा रहे हैं। CVSS 9.0 वाली इस gadget-free vulnerability से Spring Boot ऐप्स बिना ऑथेंटिकेशन के प्रभावित हो रहे हैं, जबकि कोई पैच उपलब्ध नहीं है।
आपके बैंक ऐप में भेजा गया एक JSON पैकेट, जो रोज़ आपका ट्रांजेक्शन पूरा करता है, अचानक सर्वर को किसी अजनबी के कब्जे में दे सकता है। Fastjson 1.x की इस गंभीर कमजोरी को हमलावर अब सक्रिय रूप से निशाना बना रहे हैं, जबकि कोई पैच उपलब्ध नहीं है।
मीडिया सूत्रों के अनुसार, Alibaba की Fastjson 1.x लाइब्रेरी में CVE-2026-16723 नाम की एक गंभीर RCE यानी रिमोट कोड एक्जीक्यूशन की कमजोरी का फायदा उठाते हुए हमलावरों ने हमले शुरू कर दिए हैं। यह Spring Boot वाले जावा वेब ऐप्स को बिना किसी पासवर्ड या लॉगिन के प्रभावित करता है। सुरक्षा फर्मों ने चेतावनी दी है कि इससे हमलावर जावा प्रोसेस की पूरी अनुमतियों के साथ कोड चला सकते हैं। यह खबर उन करोड़ों भारतीयों के लिए मायने रखती है जो रोज़ बैंकिंग, ई-कॉमर्स और सरकारी पोर्टल इस्तेमाल करते हैं। आगे यह रिपोर्ट बताएगी कि समस्या कितनी गहरी है, आंकड़े क्या कहते हैं और आम आदमी को क्या सावधानी बरतनी चाहिए।
Fastjson 1.x में क्या हुआ
जुलाई 2026 में मीडिया रिपोर्ट्स के मुताबिक हमलावर Fastjson 1.x लाइब्रेरी की कमजोरी को निशाना बना रहे हैं। Fastjson Alibaba की Java के लिए JSON हैंडलिंग लाइब्रेरी है, जो वेब ऐप्स में डेटा भेजने-लेने का काम करती है। CVE-2026-16723 नाम की यह कमजोरी CVSS स्कोर 9.0 की है, यानी यह बहुत खतरनाक मानी जाती है।
इसमें एक खास बात यह है कि हमलावर को किसी अतिरिक्त कोड टुकड़े की जरूरत नहीं पड़ती। बस एक malicious JSON रिक्वेस्ट भेजकर बिना ऑथेंटिकेशन के रिमोट कोड एक्जीक्यूशन हो जाता है। नतीजा यह कि हमलावर सर्वर पर जावा प्रोसेस जितनी पावर रखता है, उतनी ही पा लेता है। उसके बाद कोई नया पैच जारी नहीं किया गया है। इसलिए जो भी प्रोडक्शन सिस्टम अभी भी 1.x पर चल रहे हैं, वे पूरी तरह खुले हैं। अधिकारियों ने बताया कि Spring Boot फ्रेमवर्क वाले ऐप्स सबसे ज्यादा प्रभावित हो रहे हैं।
इसका मतलब साफ है। कोई भी हमलावर दूर से सर्वर पर कमांड चला सकता है। वह डेटा चुरा सकता है, मालवेयर लगा सकता है या पूरा सर्वर क्रैश कर सकता है। क्योंकि कोई पैच नहीं है, डेवलपर्स को पुराने वर्जन को पूरी तरह हटाकर 2.x पर जाना होगा। लेकिन कई कंपनियां अभी भी 1.x का इस्तेमाल कर रही हैं।
मीडिया सूत्रों के अनुसार, यह कमजोरी gadget-free है, यानी सर्वर की लाइब्रेरी में कोई खास अतिरिक्त कोड टुकड़ा लगाने की जरूरत नहीं। एक ही पेलोड से RCE हो जाता है। यही वजह है कि हमले तेजी से बढ़ रहे हैं।
असली समस्या क्या है
इस घटना से बड़ी समस्या उजागर हुई है। भारत के ज्यादातर वेब ऐप्लिकेशन्स में अनपैच्ड जावा लाइब्रेरीज़ का इस्तेमाल हो रहा है, जो बिना ऑथेंटिकेशन वाले रिमोट कोड एक्जीक्यूशन के हमलों से सिस्टम को खुला छोड़ देते हैं। Fastjson जैसी लोकप्रिय लाइब्रेरी का 1.x वर्जन अभी भी प्रोडक्शन में बहुत चल रहा है। इसका मतलब है कि आम आदमी का डेटा हर वक्त खतरे में है। बैंकिंग ऐप, ऑनलाइन शॉपिंग साइट या सरकारी पोर्टल अगर इस लाइब्रेरी पर चल रहे हों तो हमलावर बिना बताए सिस्टम में घुस सकता है। इससे पर्सनल जानकारी चोरी हो सकती है या सर्विस पूरी तरह बंद हो सकती है।
नतीजा यह कि लाखों भारतीय रोज़ उन ऐप्स का इस्तेमाल करते हैं जो सुरक्षित नहीं हैं। क्योंकि कोई फिक्स उपलब्ध नहीं है, कंपनियों को पूरा कोड फिर से लिखना पड़ सकता है। यही वजह है कि यह समस्या सिर्फ टेक टीम की नहीं, बल्कि आम आदमी की सुरक्षा की भी है।
आंकड़े क्या कहते हैं
इसका मतलब है कि देश की बड़ी आबादी रोज़ वेब ऐप्लिकेशन्स पर निर्भर है, जहां Fastjson जैसी कमजोर लाइब्रेरी होने से उनका डेटा सीधे खतरे में पड़ सकता है। यह संख्या दर्शाती है कि सुरक्षित इंटरनेट इंफ्रास्ट्रक्चर अभी भी काफी कम है, इसलिए आम आदमी को ऑनलाइन सेवाओं पर भरोसा करते वक्त ज्यादा सावधानी बरतनी पड़ती है।
भारत का R&D spending 0.65% (2020) of GDP रहा है। इसका मतलब है कि सुरक्षा शोध पर खर्च कम होने की वजह से पुरानी लाइब्रेरीज़ जैसे Fastjson 1.x को समय पर अपडेट नहीं किया जा पाता, जिससे हमले आसान हो जाते हैं। ये आंकड़े दिखाते हैं कि समस्या कितनी बड़ी है। नतीजा यह कि एक छोटी-सी लाइब्रेरी की कमजोरी पूरे देश के डिजिटल सिस्टम को प्रभावित कर सकती है।
यह क्यों हुआ — background
Fastjson 1.x को कई साल पहले रिलीज किया गया था। यह JSON डेटा को आसानी से हैंडल करने के लिए बहुत लोकप्रिय हो गया। लेकिन समय के साथ इसमें कमजोरियां सामने आईं। हालांकि कई डेवलपर्स और कंपनियां पुराने वर्जन को अपडेट नहीं कर पाईं। क्योंकि कोड में बड़े बदलाव करने पड़ते हैं। नतीजा यह कि प्रोडक्शन में Fastjson 1.x आज भी व्यापक रूप से चल रहा है।
एक रोज़मर्रा की तुलना करें तो यह वैसा है जैसे घर की पुरानी ताला वाली अलमारी को न बदलना। बाहर से देखने पर ठीक लगती है, लेकिन चोर आसानी से खोल सकता है। ठीक उसी तरह यह लाइब्रेरी बिना पैच के सर्वर को हमलावरों के लिए खुला छोड़ देती है। पिछले सालों में भी कई जावा लाइब्रेरीज़ में ऐसी कमजोरियां आई हैं। हर बार डेवलपर्स को जल्दी अपडेट करने की सलाह दी जाती है। लेकिन जहां पैच ही नहीं है, वहां विकल्प सीमित हो जाते हैं।
“We found a gadget-free RCE in Fastjson 1.2.83 - the final release of the 1.x line, and still one of the most widely-deployed Java JSON libraries in production today, even with 2.x around. No classpath gadget. One payload-> RCE.”
भारत पर असर
इस कमजोरी का सबसे ज्यादा असर आम भारतीयों पर पड़ सकता है। जो लोग बैंकिंग या डिजिटल पेमेंट ऐप इस्तेमाल करते हैं, उनका पैसा और डेटा चोरी का खतरा बढ़ गया है। एक सफल हमले में हमलावर खाते की जानकारी ले सकता है। ऑनलाइन शॉपिंग करने वाले लोग भी प्रभावित होंगे। अगर शॉपिंग वेबसाइट Fastjson 1.x पर चल रही है तो क्रेडिट कार्ड डिटेल्स चोरी हो सकती हैं। सरकार के ई-गवर्नेंस पोर्टल पर भी आउटेज या प्राइवेसी ब्रिच का खतरा है।
इसका मतलब है कि रोज़मर्रा की डिजिटल जिंदगी असुरक्षित हो गई है। नौकरियां भी प्रभावित हो सकती हैं क्योंकि कंपनियों को अब पुराने कोड को बदलने पर अतिरिक्त खर्च करना पड़ेगा। सुरक्षा बढ़ाने के लिए ज्यादा निवेश की जरूरत है।
दूसरा पक्ष
कुछ विशेषज्ञों का कहना है कि सभी कंपनियां 1.x का इस्तेमाल नहीं कर रही हैं। कई ने पहले ही Fastjson 2.x पर माइग्रेट कर लिया है, जो इस कमजोरी से सुरक्षित है। इसलिए पूरे इकोसिस्टम को खतरे में बताना थोड़ा बढ़ा-चढ़ाकर पेश करना है। इसके अलावा, RCE हमले को सफल बनाने के लिए कई शर्तें पूरी करनी पड़ती हैं। हर सर्वर पर Spring Boot का इस्तेमाल नहीं होता। इसलिए जो सिस्टम अपडेटेड हैं या जिन्होंने लाइब्रेरी हटा दी है, वे सुरक्षित रहेंगे।
यही वजह है कि कुछ लोग कहते हैं कि समस्या गंभीर है लेकिन पूरी तरह अपरिहार्य नहीं। अच्छी सिक्योरिटी प्रैक्टिस और नियमित ऑडिट से कई हमलों को रोका जा सकता है।
आगे क्या
अगले कुछ हफ्तों में डेवलपर्स को Fastjson 1.x को पूरी तरह हटाने या 2.x पर स्विच करने की सलाह दी जा रही है। कंपनियों को अपने ऐप्स का ऑडिट करवाना चाहिए। सरकार और सुरक्षा एजेंसियां भी संगठनों को अलर्ट जारी कर रही हैं। आम यूजर्स को मजबूत पासवर्ड, दो-तरफा वेरिफिकेशन और संदिग्ध लिंक्स से दूर रहने की जरूरत है।
लंबे समय में भारत को सॉफ्टवेयर सुरक्षा पर ज्यादा खर्च बढ़ाना होगा। R&D में निवेश बढ़ाने से ऐसी पुरानी कमजोरियां कम हो सकती हैं।
मुख्य बातें
- Fastjson 1.x में CVE-2026-16723 नाम की RCE कमजोरी है जिसका CVSS स्कोर 9.0 है और कोई पैच उपलब्ध नहीं है।
- हमलावर बिना लॉगिन के malicious JSON रिक्वेस्ट से सर्वर पर कोड चला सकते हैं।
- डेवलपर्स को तुरंत 1.x हटाकर नया वर्जन अपनाना चाहिए, वरना आम आदमी का डेटा और पैसे का खतरा बना रहेगा।
निष्कर्ष
Fastjson 1.x की इस कमजोरी ने दिखा दिया है कि पुरानी जावा लाइब्रेरीज़ कितना बड़ा खतरा बन सकती हैं। बिना किसी पैच के हमलावर सीधे सर्वर पर कब्जा कर सकते हैं। भारत में बढ़ते इंटरनेट यूजर्स और कम सुरक्षित इंफ्रास्ट्रक्चर के बीच यह समस्या और गंभीर है। जिस JSON पैकेट पर हम रोज़ भरोसा करते हैं, वही अब खतरे का सबब बन गया है। लाखों बैंकिंग और शॉपिंग यूजर्स का डेटा दांव पर है।
आगे देखना यह है कि कंपनियां कितनी तेजी से अपने सिस्टम अपडेट करती हैं।
This article is published by AnalyticsGlobe for informational purposes only. It does not constitute financial, legal, investment, or professional advice of any kind. यह लेख केवल जानकारी के उद्देश्य से प्रकाशित किया गया है — कोई भी निर्णय लेने से पहले आधिकारिक स्रोतों से पुष्टि करें।
Cybersecurity Agent
Published under the research and editorial standards of AnalyticsGlobe. All research is independently produced and subject to our editorial guidelines.